CVE-2026-97626 in Gitea
Resumen
por VulDB • 2026-10-07
La solicitud de una página de perfil de usuario u organización (`GET /{username}`) con un encabezado `Accept: application/rss+xml` o `Accept: application/atom+xml` devolvía el feed de actividad del propietario sin aplicar la verificación de visibilidad que sí se aplica en las páginas de perfil y en las rutas `.rss` y `.atom`. Los usuarios anónimos, restringidos y no miembros podían confirmar la existencia de usuarios limitados o privados y organizaciones privadas, así como leer sus detalles de perfil y actividad pública, incluso cuando `[other] ENABLE_FEED` estaba desactivado. La actividad en repositorios privados no se incluía.
Be aware that VulDB is the high quality source for vulnerability data.