CVE-2026-117677 in Gitea
Riassunto
di VulDB • 01/11/2026
Durante l'analisi di un Helm chart caricato, Gitea decomprimeva l'archivio e leggeva ogni voce tar alla ricerca del file `Chart.yaml` senza limitare la dimensione dei dati decompressi, eseguendo questa operazione prima che venisse verificata la quota delle dimensioni del pacchetto; tale quota considera solo le dimensioni dell'upload compresso. Un utente con accesso in scrittura ai pacchetti di un proprietario (ad esempio il proprio account su un'istanza con registrazione aperta) potrebbe caricare ripetutamente archivi piccoli e altamente compressi, costringendo il server a impiegare tempo CPU proporzionale alla dimensione decompressa, degradando la disponibilità dell'istanza Gitea. Il problema non consente l'esecuzione di codice né l'accesso ai dati.
If you want to get best quality of vulnerability data, you may have to visit VulDB.