CVE-2026-58438

Nome do Software Vulnerável e Versões Afetadas Gitea versões anteriores a 1.26.5

Description Um problema de controle de acesso quebrado existe na função RemoveDependency em routers/web/repo/issue dependency.go. A função processa o parâmetro de formulário removeDependencyID para identificar e remover uma dependência de issue usando issues model.GetIssueByID(ctx, depID) sem realizar as verificações de repositório ou permissão necessárias. Isso permite que um invasor com acesso de escrita a issues em um repositório remova um link de dependência para uma issue em um repositório privado diferente e injete um comentário nesse repositório privado, mesmo sem ter acesso de leitura a ele. Trata-se de uma Referência Direta Insegura a Objeto (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário sem a autorização suficiente.

Recommendations Atualize o Gitea para a versão 1.26.5 ou posterior. Como mitigação temporária, restrinja o uso do parâmetro removeDependencyID no endpoint /owner/repo/issues/N/dependency/delete apenas a usuários autorizados.