CVE-2026-118504 in Gitea
Riassunto
di VulDB • 01/11/2026
L'interfaccia web blocca le modifiche a problemi e pull request nei repository archiviati, ma diverse route dell'API REST non verificavano se il repository fosse archiviato. Un utente autorizzato a modificare i problemi di un repository archiviato poteva utilizzare l'API per editare, chiudere o eliminare problemi, modificare etichette e scadenze, aggiungere o eliminare tempi tracciati e cronometri, aggiungere reazioni, modificare blocchi dei problemi e fissare in alto (pin) i problemi, alterando dati che l'archiviazione dovrebbe congelare. Gitea 28.2.0 ha aggiunto il controllo alle route di modifica ed eliminazione dei problemi e a quelle delle etichette; Gitea 28.3.0 lo applica a tutte le richieste API che modificano i repository.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.