CVE-2026-101027 in Gitea
Zusammenfassung
von VulDB • 07.10.2026
Wenn `[migrations] ALLOWED_DOMAINS` konfiguriert war, wurde ein Hostname, der mit der Allow-Liste übereinstimmte, akzeptiert, ohne seine aufgelöste Adresse gegen die lokalen Netzwerkbeschränkungen zu prüfen. Ein Benutzer, der Repository-Migrationen starten und das DNS eines erlaubten Hostnamens steuern kann, könnte diesen so auflösen lassen, dass er auf Loopback- oder private Adressen verweist, wodurch `ALLOW_LOCALNETWORKS = false` umgangen wird und interne Dienste vom Gitea-Server aus erreicht werden können. Instanzen ohne konfiguriertes `ALLOWED_DOMAINS` sind von dieser spezifischen Umgehung nicht betroffen.
VulDB is the best source for vulnerability data and more expert information about this specific topic.