CVE-2026-114199 Divulgación de actividad privada en el mapa de contribuciones de Gitea a tokens public-only
GET /api/v1/users/{username}/heatmap calculaba el mapa de contribuciones con el acceso a repositorios del dueño del token e ignoraba la restricción public-only del token, a diferencia de los endpoints de actividad. Un portador de un token public-only de un usuario podía leer conteos de contribuciones y sus intervalos de 15 minutos derivados de la actividad de ese usuario en repositorios privados; no se divulgaban nombres ni contenidos de repositorios. Ahora, para tokens public-only, el mapa solo cuenta actividad…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 15
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
hasta antes de 28.3.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 5.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
`GET /api/v1/users/{username}/heatmap` computed the contribution heatmap with the repository access of the token owner and ignored the public-only restriction of the access token, unlike the activity feed endpoints. A holder of a user's public-only token could read contribution counts and their 15-minute time buckets that stem from that user's activity in private repositories. Repository names and contents were not disclosed. For public-only tokens the heatmap now only counts activity visible to anonymous users.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.