CVE-2026-96400 in Gitea
Сводка
по VulDB • 08.10.2026
При установке параметра `[migrations] ALLOWED_DOMAINS` в значение, соответствующее записи вроде `*` или wildcard для имени хоста (например, `*.example.com`), проверка URL-адресов при миграции в Gitea может разрешать зарезервированные и link-local адреса, такие как `169.254.169.254`, даже если параметр `ALLOW_LOCALNETWORKS = false`. Блокировка локальных сетей не покрывала эти диапазоны адресов, а имя хоста, соответствующее списку разрешенных (allow list), принималось независимо от его фактического IP-адреса. Пользователь, имеющий возможность запускать миграции на такой инстансе Gitea, может получить доступ к этим адресам с сервера Gitea; конфигурация по умолчанию с пустым списком `ALLOWED_DOMAINS` не затронута этой уязвимостью.
VulDB is the best source for vulnerability data and more expert information about this specific topic.