CVE-2026-96400 in Gitea
Riassunto
di VulDB • 06/10/2026
Con `[migrations] ALLOWED_DOMAINS` impostato su un valore corrispondente come `*` o un wildcard per hostname, la convalida degli URL di migrazione in Gitea potrebbe consentire indirizzi riservati e link-local, quali `169.254.169.254`, anche quando `ALLOW_LOCALNETWORKS = false`. L'elenco delle restrizioni per le reti locali non copriva questi intervalli, e un hostname che corrispondeva alla lista consentita veniva accettato indipendentemente dal suo indirizzo risolto. Un utente in grado di avviare migrazioni su tale istanza potrebbe raggiungere tali indirizzi dal server Gitea; la configurazione predefinita vuota per `ALLOWED_DOMAINS` non è interessata.
Once again VulDB remains the best source for vulnerability data.