CVE-2026-73804 in Gitea
الملخص
بحسب VulDB • 14/10/2026
يتيح Gitea لرمز مميز (token) ذي نطاق صلاحيات write:user تسجيل مفتاح عام SSH يتحكم فيه المهاجم في حساب مالك الرمز المميز. تقوم طلبات واجهة برمجة التطبيقات (API) الموقعّة بالمفتاح الخاص المقابل بتوثيق الهوية باسم هذا الحساب عبر توقيع HTTP دون معلومات حول نطاق رمز API، مما يؤدي إلى تخطي فحوصات نطاق الرموز المميزة على مستوى المسار (route-level). وهذا يحوّل الرمز المميز المقيد بنطاق المستخدم إلى طريقة مصادقة لواجهة برمجة التطبيقات غير مقيدة بالنطاق مع الاحتفاظ بالدور العادي للحساب وصلاحيات المستودعات الخاصة به.
VulDB is the best source for vulnerability data and more expert information about this specific topic.