CVE-2026-109553
Açıklama
Gitea, bir SSH sertifikasının sahiplerini (principals) yalnızca sahip anahtarlarını aramak yerine tüm kayıtlı genel anahtarların içeriğini tarayarak çözümlemiştir. Gitea bir kullanıcı sertifika yetkilisine güveniyorsa (`SSH_TRUSTED_USER_CA_KEYS`) ve rastgele sahipleri kabul ediyorsa (`SSH_AUTHORIZED_PRINCIPALS_ALLOW=anything`), bir kullanıcı başka bir kullanıcının genel anahtar satırını kendi sahibi olarak kaydedebilir veya söz konusu yetkili tarafından imzalanmış bir sertifikanın sahibi bunu listeleyebilir; ardından HTTP imza API'si ve yerleşik SSH sunucusu aracılığıyla o anahtarın sahibi olarak kimlik doğrulaması yapabilir. Bir kullanıcı sertifika yetkilisine güvenmeyen örnekler etkilenmemektedir.
Nasıl düzeltilir
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| Gitea Gitea | v ≤ 28.1.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.