CVE-2026-118504 Cambios en issues de repositorios archivados vía API en Gitea
Varias rutas de issues de la API REST no verificaban si el repositorio está archivado, a diferencia de la interfaz web. Un usuario con permiso para modificar issues podía editar, cerrar o eliminar issues, cambiar etiquetas y fechas límite, agregar o borrar tiempo registrado y cronómetros, agregar reacciones, cambiar bloqueos y fijar issues. Gitea 28.2.0 agregó la verificación a las rutas de edición, eliminación y etiquetas; 28.3.0 la aplica a todas las solicitudes de API que modifican repositorios.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 26
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
hasta antes de 28.3.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
The web interface blocks issue and pull request changes on archived repositories, but several issue routes of the REST API did not check whether the repository is archived. A user allowed to change issues of an archived repository could use the API to edit, close or delete issues, change labels and deadlines, add or delete tracked time and stopwatches, add reactions, change issue blocks, and pin issues, altering data that archiving is meant to freeze. Gitea 28.2.0 added the check to the issue edit, delete and label routes; Gitea 28.3.0 applies it to all modifying repository API requests.
Referencias (7)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.