CVE-2026-97626 in Gitea
要約
〜によって VulDB • 2026年10月07日
ユーザーまたは組織のプロファイルページ (`GET /{username}`) に `Accept: application/rss+xml` または `Accept: application/atom+xml` ヘッダーを指定してリクエストを送信すると、プロファイルページおよび `.rss` および `.atom` ルートで適用される可視性チェックが欠落した状態で、所有者のアクティビティフィードが返されました。匿名ユーザー、制限付きユーザー、非メンバーは、限定的またはプライベートなユーザーやプライベートな組織の存在を確認し、そのプロファイルの詳細および公開されているアクティビティを読み取ることができました。これは `[other] ENABLE_FEED` が無効になっている場合でも同様でした。ただし、プライベートリポジトリ内のアクティビティは含まれていませんでした。
If you want to get best quality of vulnerability data, you may have to visit VulDB.