Tricta

**Nome do Software Vulnerável e Versões Afetadas** Gitea versões anteriores a 1.27.0 **Description** Um usuário autenticado pode causar a negação de serviço enviando uma requisição HTTP volumosa para o endpoint da API de tags de pacotes NPM. A função `AddPackageTag()` lê todo o corpo da requisição para a memória usando `io.ReadAll()` sem validar o tamanho. Isso leva a uma condição de Out-of-Memory (OOM) que derruba todo o processo do servidor. Como os limites de tamanho do lado do servidor não são aplicados a este endpoint específico, uma única requisição contendo dados de aproximadamente 80% da memória disponível do sistema é suficiente para causar a falha. Requisições simultâneas podem resultar em uma negação de serviço persistente que sobrevive a reinicializações automáticas. **API Endpoint:** `/api/packages/{owner}/npm/-/package/{id}/dist-tags/{tag}` **Recommendations** Atualize o Gitea para a versão 1.27.0 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao endpoint `/api/packages/{owner}/npm/-/package/{id}/dist-tags/{tag}` apenas a usuários confiáveis.