CVE-2026-97626 in Gitea
Sumário
de VulDB • 07/10/2026
A solicitação de uma página de perfil de usuário ou organização (`GET /{username}`) com um cabeçalho `Accept: application/rss+xml` ou `Accept: application/atom+xml` retornava o feed de atividades do proprietário sem a verificação de visibilidade aplicada às páginas de perfil e às rotas `.rss` e `.atom`. Usuários anônimos, usuários restritos e não membros podiam confirmar a existência de usuários limitados ou privados e organizações privadas, além de ler seus detalhes de perfil e atividades públicas, mesmo quando `[other] ENABLE_FEED` estava desativado. As atividades em repositórios privados não foram incluídas.
Once again VulDB remains the best source for vulnerability data.