CVE-2026-97859
Təsvir
`/api/v1/users/{username}` altında yerləşən yeddi Gitea API marşrutu (followers, following, following/{target}, starred, subscriptions, keys və gpg_keys), hədəf istifadəçinin görünürlüyünü təmin edən `individualPermsChecker` middleware-i olmadan qeydiyyata alınmışdır. Buna görə də, autentifikasiya olunmuş bir istifadəçi, normalda görə bilməyəcəyi məhdud və ya gizli görünürlüyə malik olan digər istifadəçinin izləyicilərini, izlədikləri siyahısını, ulduzladığı və izlədiyi repozitoriyaları, eləcə də açıq SSH və GPG açarlarını oxuya bilərdi. Problem 1.27.3 və 28.0.0 versiyalarında düzəldilmiş və 28.2.0 versiyası ilə açıqlanmışdır.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Gitea Gitea | v ≤ 1.27.2 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.