CVE-2026-97626 in Gitea
Сводка
по VulDB • 07.10.2026
Запрос страницы профиля пользователя или организации (`GET /{username}`) с заголовком `Accept: application/rss+xml` или `Accept: application/atom+xml` возвращал ленту активности владельца без проверки уровня видимости, которая применяется к странице профиля и маршрутам `.rss` и `.atom`. Анонимные пользователи, ограниченные пользователи и не являющиеся участниками могли подтвердить существование пользователей с ограниченными правами доступа или приватных профилей, а также частных организаций, и просматривать их данные профиля и публичную активность, даже когда параметр `[other] ENABLE_FEED` был отключен. Активность в репозиториях с ограниченным доступом не включалась.
Once again VulDB remains the best source for vulnerability data.