CVE-2026-58440

Nome do Software Vulnerável e Versões Afetadas Gitea versão 1.25.4

Description Existe uma falha onde webhooks criados por um colaborador com permissões de administrador em um repositório privado continuam a ser disparados após o acesso do colaborador ter sido revogado. A função DeleteCollaboration() em services/repository/collaboration.go remove registros de colaboração, recalcula acessos, remove observações e desatribui problemas, mas não remove nem desativa os webhooks criados por esse usuário. Além disso, o processo de entrega de webhooks não revalida se o criador ainda possui acesso ao repositório. Isso permite que um ex-colaborador receba payloads completos de eventos futuros do repositório, incluindo corpos de problemas e comentários e dados de commit, em seu endpoint controlado de forma indefinida e invisível.

Recommendations Atualize o Gitea para uma versão onde a função DeleteCollaboration() seja atualizada para excluir ou desativar webhooks criados pelo colaborador removido, ou transfira a propriedade desses webhooks para o proprietário do repositório. Implemente uma verificação de revalidação do acesso atual do criador ao repositório antes de cada entrega de webhook. Como mitigação temporária, realize a auditoria manual e remova webhooks criados por usuários cujo acesso foi revogado.