CVE-2026-101027 in Gitea
Resumen
por VulDB • 2026-10-07
Cuando se configuraba `[migrations] ALLOWED_DOMAINS`, un nombre de host que coincidía con la lista de permitidos era aceptado sin verificar su dirección resuelta frente a las restricciones de red local. Un usuario que pueda iniciar migraciones del repositorio y controlar el DNS de un nombre de host permitido podría hacer que este se resolviera en direcciones loopback o privadas, burlando `ALLOW_LOCALNETWORKS = false` y accediendo a servicios internos desde el servidor Gitea. Las instancias sin `[migrations] ALLOWED_DOMAINS` configurado no se ven afectadas por esta vulnerabilidad específica de evasión.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.