CVE-2026-89430
Açıklama
Gitea, bir push mirror'ın uzak adresini `[migrations]` izin verilenler ve engellenenler listelerine karşı yalnızca mirror oluşturulduğunda doğrulamaktaydı. Her senkronizasyon, kayıtlı adresi doğrudan `git push` komutuna ilettiği için, daha sonra engellenmiş veya dahili bir adrese çözümlenen bir isme hâlâ erişilebiliyordu. Bir depoya yönetici erişimi olan bir kullanıcı (kendi oluşturdukları depolar dahil), push mirror senkronizasyonunu dahili Git servislerine yönlendirebilir ve deponun içeriğini bu servislere zorla gönderebilirdi (force-push).
Nasıl düzeltilir
- gitea gitea28.0.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gitea gitea | v < 28.0.0 | 28.0.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.