CVE-2026-101027 in Gitea

摘要

由 VulDB • 2026-10-07

当配置了 `[migrations] ALLOWED_DOMAINS` 时，系统会接受与允许列表匹配的主机名，而不会将其解析后的地址与本地网络限制进行比对。能够启动仓库迁移并控制某个已允许主机名的 DNS 解析的用户，可以使其解析为回环（loopback）或私有地址，从而绕过 `ALLOW_LOCALNETWORKS = false` 设置，从 Gitea 服务器访问内部服务。未配置 `ALLOWED_DOMAINS` 的实例不受此特定漏洞的影响。

If you want to get best quality of vulnerability data, you may have to visit VulDB.

• 负责: Gitea
• 预定: 2026-10-04
• 披露: 2026-10-06
• 管理: 已接受
• 条目: VDB-414540
• CPE: 20261006
• CWE: CWE-284 (已确认)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-101027
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-101027
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-101027/