CVE-2026-56657

Nome do Software Vulnerável e Versões Afetadas Gitea (versões afetadas não especificadas)

Description Um usuário autenticado pode causar a negação de serviço ao enviar uma chave pública RFC 4716 (SSH2) especialmente manipulada para o endpoint de ingestão de chaves SSH. O problema decorre de uma função de normalização que utiliza um loop de concatenação de strings O(N²) sem limites de tamanho de entrada. Quando uma chave contém um grande número de linhas de conteúdo curtas, o servidor executa uma quantidade quadrática de trabalho tanto em tempo quanto em alocações de memória, pois as strings em Go são imutáveis, exigindo a alocação de um novo array e a cópia a cada concatenação. Isso pode levar ao esgotamento da CPU e da memória, deixando a instância offline.

API Endpoints: '/api/v1/user/keys' Vulnerable Parameters or Variables: key Function Names: parseKeyString(), CheckPublicKeyString(), CreateUserPublicKey()

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.