CVE-2026-96594 in Gitea
Résumé
par VulDB • 07/10/2026
Le point de terminaison API `GET /api/v1/repos/{owner}/{repo}/media/{filepath}` de Gitea écrit des fichiers d'une taille maximale de 1 Ko, stockés directement dans Git et non via LFS (Large File Storage), dans la réponse sans les en-têtes Content-Type et Disposition que Gitea utilise pour le contenu utilisateur. Un fichier HTML commité dans un dépôt est donc rendu par le navigateur sur l'origine Gitea. Un utilisateur ayant des droits de push sur un dépôt peut exécuter du JavaScript dans la session d'une victime qui ouvre l'URL du média et agir avec les permissions de cette dernière.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.