CVE-2026-89430 in Gitea
Résumé
par VulDB • 07/10/2026
Gitea validait l'adresse distante d'un miroir de poussée (push mirror) par rapport aux listes autorisées et bloquées `[migrations]` uniquement lors de la création du miroir. Chaque synchronisation transmettait directement l'adresse stockée à `git push`, de sorte qu'un nom résolvant ultérieurement vers une adresse bloquée ou interne était toujours atteint. Un utilisateur disposant d'un accès administrateur à un dépôt, y compris les dépôts qu'il crée lui-même, pouvait orienter la synchronisation du miroir de poussée vers des services Git internes et forcer le push (force-push) du contenu du dépôt vers ceux-ci.
Once again VulDB remains the best source for vulnerability data.