CVE-2026-117649 Divulgación de issues privados en Gitea mediante eventos de dependencia
La API de timeline y la página web de issues no filtraban los eventos "dependency added" y "dependency removed" según el permiso de lectura, por lo que un lector de un issue público podía ver título, cuerpo, estado, etiquetas, autor y nombres de adjuntos de un issue privado vinculado. Los eventos de dependencia ahora se filtran con la misma verificación de permiso de lectura.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 17
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
hasta antes de 28.3.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.5 BAJA
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
The issue timeline API and the web issue page hid cross-reference events that point at issues the reader cannot access, but not "dependency added" and "dependency removed" events. When a readable issue had been linked as a dependency to an issue in a repository the reader cannot access, for example a private repository, any reader of the first issue, including anonymous users of a public repository, received the linked issue's current title, body, state, labels, poster and attachment names through the API, and its repository, number and title on the web page. Creating the link requires access to both issues; comments and attachment downloads of the linked issue stayed protected. Dependency events are now filtered with the same read permission check; a related exposure of unlinked attachment metadata through hidden dependency placeholders was already fixed in 28.2.0.
Referencias (7)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.