CVE-2026-58431

Nome do Software Vulnerável e Versões Afetadas Gitea versão 1.26.2

Description As rotas da API /api/v1/teams/{id} não aplicam corretamente a restrição de token de acesso public-only. Um token public-only deve limitar o acesso da API a repositórios e organizações públicas; no entanto, essas rotas podem retornar metadados de repositórios de equipes privadas e entradas de feed de atividade de equipes privadas. Isso ocorre porque o middleware checkTokenPublicOnly não verifica a visibilidade da organização quando ctx.Org.Organization é nulo. Além disso, os manipuladores de repositórios de equipe não aplicam a filtragem de nível de repositório via ctx.TokenCanAccessRepo(repo), e o manipulador de feed de atividade da equipe não aplica opts.ApplyPublicOnly(ctx.PublicOnly) enquanto mantém IncludePrivate definido como verdadeiro.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.