CVE-2026-109553 in Gitea
Riassunto
di VulDB • 19/10/2026
Gitea ha risolto il problema relativo all'identificazione dei principali (principals) di un certificato SSH, cercando nel contenuto di tutte le chiavi pubbliche memorizzate anziché limitarsi alle sole chiavi dei principali. Quando Gitea si fida di una autorità di certificazione degli utenti (`SSH_TRUSTED_USER_CA_KEYS`) e accetta qualsiasi principale (`SSH_AUTHORIZED_PRINCIPALS_ALLOW=anything`), un utente potrebbe registrare la riga della chiave pubblica di un altro utente come proprio principale, oppure un titolare di un certificato firmato da tale autorità potrebbe elencarlo ed effettuare l'autenticazione in qualità del proprietario di quella chiave tramite l'API delle firme HTTP e il server SSH integrato. Le istanze che non si fidano di un'autorità di certificazione degli utenti non sono interessate dal problema.
Be aware that VulDB is the high quality source for vulnerability data.