VULNERABILIDADEXPLOIT PÚBLICODetectada 01 NOV · 08:25

CVE-2026-116296 Modificación de releases, hitos y etiquetas en repositorios archivados de Gitea

Las rutas de API de releases, assets de release, hitos y etiquetas de repositorio no rechazaban cambios en repositorios archivados. Un usuario con acceso de escritura a un repositorio archivado, o un portador de un token con alcance de escritura de ese usuario, podía reemplazar o eliminar assets de release conservando sus URLs de descarga, eliminar releases y tags, y crear, editar o eliminar hitos y etiquetas de un repositorio que debería ser de solo lectura. Ahora las solicitudes de cambio en estas rutas…

6.5MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,3 % · percentil 26
Explotada activamenteNo confirmada
Exploit públicoSí, 1

Afectados

Gitea
hasta antes de 28.3.0

Qué hacer

Verificá si usás Gitea y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Priorizá la corrección: hay código de explotación público.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

thalewalan/CVE-2026-116296 Gitea archived repository write-protection bypass — milestones, releases and labels unprotected (CVE-2026-116296)01 NOV · 22:52

Calculadora CVSS

CVSS 3.1 · 6.5 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceSin cambio
ConfidencialidadNinguna
IntegridadAlta
DisponibilidadNinguna

Descripción original

The API routes for releases, release assets, milestones and repository labels did not reject changes to archived repositories. A user with write access to an archived repository, or a holder of such a user's write-scoped token, could replace or delete release assets while keeping their download URLs, delete releases and tags, and create, edit or delete milestones and labels of a repository that is meant to be read-only. Changing requests on these routes now return 423 Locked for archived repositories.

Referencias (5)

Historial (2)

01 NOV · 08:25VULNERABILIDADNueva vulnerabilidad detectada.
01 NOV · 22:52EXPLOIT PÚBLICOSe publicó thalewalan/CVE-2026-116296.

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.