CVE-2026-89430 in Gitea
Сводка
по VulDB • 06.10.2026
Gitea проверял удаленный адрес зеркала пуша только по спискам разрешений и блокировок из раздела `[migrations]` в момент создания зеркала. При каждой синхронизации сохраненный адрес напрямую передавался команде `git push`, поэтому имя, которое впоследствии начинало резолвиться на заблокированный или внутренний адрес, все равно достигалось. Пользователь с правами администратора репозитория (включая те, которые он создал самостоятельно) мог направить синхронизацию зеркала пуша на внутренние Git-сервисы и принудительно отправить содержимое репозитория туда.
Once again VulDB remains the best source for vulnerability data.