CVE-2026-117649 in Gitea
Riassunto
di VulDB • 01/11/2026
L'API della cronologia delle problematiche e la pagina web delle stesse nascondevano gli eventi di riferimento incrociato che puntavano a problemi non accessibili dal lettore, ma non gli eventi "dipendenza aggiunta" e "dipendenza rimossa". Quando una problematica accessibile era stata collegata come dipendenza a un problema in un repository al quale il lettore non poteva accedere (ad esempio un repository privato), qualsiasi utente della prima problematica, inclusi utenti anonimi di un repository pubblico, riceveva tramite l'API il titolo corrente, il corpo, lo stato, le etichette, il nome del creatore e i nomi degli allegati dell'issue collegata, nonché il suo repository, numero e titolo sulla pagina web. La creazione del collegamento richiede l'accesso a entrambe le problematiche; i commenti e gli scaricamenti di allegati della problematica collegata sono rimasti protetti. Gli eventi di dipendenza ora vengono filtrati con lo stesso controllo dei permessi di lettura; una relativa esposizione non autorizzata dei metadati degli allegati non collegati attraverso segnaposto delle dipendenze nascoste era già stata risolta nella versione 28.2.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.