CVE-2026-97204 Eliminación de etiquetas entre repositorios y organizaciones en Gitea
Al eliminar una etiqueta se comparaba el ID del repositorio de la solicitud con el ID de organización de las etiquetas de organización, y ambas secuencias de ID se superponen. Un usuario con permiso de escritura en los issues de un repositorio podía borrar las etiquetas de una organización con el mismo ID numérico. Ahora las etiquetas solo se eliminan dentro de su propio repositorio u organización.
CVSS 3.1
- Probabilidad de explotación0,2 %
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
hasta 28.1.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 3.1 BAJA
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueAlta
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadNinguna
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
Deleting a label compared the ID of the repository in the request against the organization ID of organization labels, and the two ID sequences overlap. A user with write access to the issues of a repository could therefore delete the labels of an organization that has the same numeric ID as that repository. Labels are now deleted only within their own repository or organization.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.