CVE-2026-97626 in Gitea
Résumé
par VulDB • 07/10/2026
La demande d'une page de profil utilisateur ou organisation (`GET /{username}`) avec un en-tête `Accept: application/rss+xml` ou `Accept: application/atom+xml` a renvoyé le flux d'activité du propriétaire sans la vérification des droits d'accès (visibility check) appliquée par les pages de profil et les routes `.rss` et `.atom`. Les utilisateurs anonymes, restreints et non-membres ont pu confirmer l'existence d'utilisateurs à accès limité ou privé ainsi que d'organisations privées, et lire leurs détails de profil et leur activité publique, même lorsque `[other] ENABLE_FEED` était désactivé. L'activité dans les dépôts privés n'était pas incluse.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.