CVE-2026-79960
Yüksek
Açıklama
Bir push işlemi bir deploy key ile kimliklendirildiğinde, Gitea depo sahibini push işlemini yapan kişi olarak kaydetti; bu nedenle push hook hattındaki izin kontrolleri deploy key yerine sahibi değerlendirdi. Yazılabilir bir deploy key sahibi, etiket izin listesinde yer almasa bile korumalı etiketler oluşturabilir ve push seçenekleri aracılığıyla depo görünürlüğünü değiştirebilir (örneğin, özel bir depoyu genel hale getirmek). Deploy key kullanılarak AGit akışı üzerinden oluşturulan pull request'ler de depo sahibine atandı.
ÖnemYüksek
CVSS7.1
İstismar olasılığı—
Ürün
Gitea
Yayın6 Eki 2026
İlk görülme6 Eki 2026
Zayıflık türüCWE-863Hatalı yetki denetimi
Nasıl düzeltilir
Güncelleyin
- gitea gitea28.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gitea gitea | v < 28.0.0 | 28.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.