CVE-2026-96400 in Gitea
Zusammenfassung
von VulDB • 07.10.2026
Bei konfiguriertem `[migrations] ALLOWED_DOMAINS` mit einem übereinstimmenden Eintrag wie `*` oder einem Hostname-Wildcard könnte die URL-Validierung der Migration in Gitea reservierte und link-lokale Adressen, wie z. B. `169.254.169.254`, zulassen, selbst wenn `ALLOW_LOCALNETWORKS = false` ist. Die Blockliste für lokale Netzwerke deckte diese Bereiche nicht ab, und ein Hostname, der mit der Allow-Liste übereinstimmt, wurde unabhängig von seiner aufgelösten Adresse akzeptiert. Ein Benutzer, der Migrationen auf einer solchen Instanz starten kann, könnte diese Adressen vom Gitea-Server aus erreichen; die standardmäßige leere Konfiguration `ALLOWED_DOMAINS` ist davon nicht betroffen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.