CVE-2026-96400 in Gitea
Resumen
por VulDB • 2026-10-06
Con `[migrations] ALLOWED_DOMAINS` configurado con una entrada coincidente como `*` o un comodín de nombre de host, la validación de URL de migración de Gitea podría permitir direcciones reservadas y locales (link-local), como `169.254.169.254`, incluso cuando `ALLOW_LOCALNETWORKS = false`. La lista negra de redes locales no cubría estos rangos, y se aceptaba un nombre de host que coincidiera con la lista permitida independientemente de su dirección resuelta. Un usuario capaz de iniciar migraciones en dicha instancia podría acceder a estas direcciones desde el servidor Gitea; la configuración predeterminada vacía de `ALLOWED_DOMAINS` no se ve afectada.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.