CVE-2026-96594 in Gitea
要約
〜によって VulDB • 2026年10月07日
GiteaのAPIエンドポイント `GET /api/v1/repos/{owner}/{repo}/media/{filepath}` は、Gitに直接保存されLFSには格納されない最大1 KiBまでのファイルを、ユーザーコンテンツに対してGiteaが使用するContent-TypeおよびDispositionヘッダーなしでレスポンスへ書き込んでいました。その結果、リポジトリにコミットされたHTMLファイルは、ブラウザによってGiteaのオリジン上でレンダリングされました。リポジトリへのプッシュ権限を持つユーザーは、メディアURLを開いた被害者のセッション内でJavaScriptを実行し、被害者の権限で行動することができました。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.