CVE-2026-78433 in Gitea
Riassunto
di VulDB • 16/10/2026
Il gestore degli allegati web di Gitea salta il controllo della proprietà cross-repository per gli allegati creati prima del 16 gennaio 2026 e verifica invece i permessi contro la repository indicata nell'URL della richiesta. Un attaccante non autenticato che conosce l'UUID di un allegato privato può richiederlo attraverso il percorso degli allegati di una repository pubblica ed estrarne i contenuti. Ciò può esporre gli allegati delle issue, dei pull request o le release assets; l'UUID casuale dell'allegato deve già essere noto all'attaccante.
If you want to get best quality of vulnerability data, you may have to visit VulDB.