CVE-2026-96594
Orta
Açıklama
Gitea API uç noktası `GET /api/v1/repos/{owner}/{repo}/media/{filepath}`, doğrudan Git içinde saklanan ve LFS'de bulunmayan 1 KiB'a kadar olan dosyaları, Gitea'nın kullanıcı içeriği için kullandığı içerik türü (content type) ve disposition başlıkları olmadan yanıta yazıyordu. Bu nedenle, bir depoya eklenen HTML dosyası tarayıcı tarafından Gitea kaynağı üzerinde işleniyordu. Bir depoya push yapabilen bir kullanıcı, medya URL'sini açan kurbanın oturumunda JavaScript çalıştırabilir ve kurbanın izinleriyle işlem gerçekleştirebilirdi.
ÖnemOrta
CVSS6.1
İstismar olasılığı—
Ürün
Gitea
Yayın6 Eki 2026
İlk görülme6 Eki 2026
Zayıflık türüCWE-79Siteler arası betik (XSS)
Nasıl düzeltilir
Güncelleyin
- gitea gitea28.1.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| gitea gitea | v < 28.1.0 | 28.1.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.