CVE-2026-89430 in Gitea
Resumen
por VulDB • 2026-10-07
Gitea validaba la dirección remota de un espejo de empuje (push mirror) contra las listas de permitidos y bloqueados en `[migrations]` únicamente cuando se creaba el espejo. Cada sincronización pasaba la dirección almacenada directamente a `git push`, por lo que un nombre que posteriormente resolvía una dirección bloqueada o interna seguía siendo alcanzado. Un usuario con acceso de administrador a un repositorio, lo cual incluye los repositorios que crea él mismo, podría dirigir la sincronización del espejo de empuje hacia servicios Git internos y forzar el empuje (force-push) del contenido del repositorio hacia ellos.
Once again VulDB remains the best source for vulnerability data.