CVE-2026-96400 in Gitea
要約
〜によって VulDB • 2026年10月07日
[migrations] ALLOWED_DOMAINS に `*` やホスト名のワイルドカードなど、一致するエントリが設定されている場合、Gitea の移行 URL 検証は、`ALLOW_LOCALNETWORKS = false` が指定されていても、予約済みアドレスやリンクローカルアドレス（例: `169.254.169.254`）を許可してしまう可能性があります。ローカルネットワークのブロックリストにはこれらの範囲が含まれておらず、許可リストに一致するホスト名は、解決後のアドレスに関係なく受け入れられました。そのようなインスタンスで移行を開始できるユーザーは、Gitea サーバーからこれらのアドレスに到達できますが、デフォルトの空の `ALLOWED_DOMAINS` 設定には影響ありません。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.