CVE-2026-105964 Cuerpo de petición sin límite en la API v4 de artefactos de Gitea Actions
Los handlers v4 (Twirp) de artefactos de Gitea Actions leían todo el cuerpo de la petición en memoria sin límite de tamaño. Un usuario que puede ejecutar un workflow y obtiene el token del runner de esa ejecución podía enviar una petición sobredimensionada al servicio de artefactos y agotar la memoria del servidor, lo que termina el proceso de Gitea. El cuerpo de la petición ahora está limitado a 1 MiB.
CVSS 3.1
- Probabilidad de explotación0,3 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
desde 1.22.0 hasta 28.1.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadNinguna
- DisponibilidadAlta
Descripción original
The Gitea Actions artifact v4 (Twirp) handlers read the whole request body into memory without a size limit. A user who can run a workflow and obtains the runner token of that run could send an oversized request to the artifact service and exhaust the memory of the server, which terminates the Gitea process. The request body is now limited to 1 MiB.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.