Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] Gitea opravuje 11 zranitelností
Gitea verzí 28.1.0 opravuje 11 zranitelností. Nejzávažnější z nich jsou popsány níže, zbytek najdete na [1].
Neautentizovanému vzdálenému útočníkovi je v důsledku nesprávného zpracování HTML souborů z repozitáře, které se zobrazí přímo v prohlížeči namísto stažení, umožněno spustit libovolný JavaScript v kontextu aplikace, když oběť otevře daný soubor [2].
Zranitelnost se nachází v produktu:
- Gitea; <28.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
Více informací:
- CVE-2026-96594 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 6. 10. 2026.
Autentizovanému vzdálenému útočníkovi s oprávněními administrátora repozitáře je v důsledku chybějící kontroly v API umožněno zřídit automatické zrcadlení repozitáře na externí server, ačkoli to správce serveru zakázal [3].
Zranitelnost se nachází v produktu:
- Gitea; <28.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Více informací:
- CVE-2026-97208 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 6. 10. 2026.
Autentizovanému vzdálenému útočníkovi s oprávněními administrátora repozitáře je umožněno zapsat obsah do souborového systému serveru, protože Gitea ověřuje oprávnění u vlastníka repozitáře namísto uživatele, který požadavek odeslal [4].
Zranitelnost se nachází v produktu:
- Gitea; <28.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
Více informací:
- CVE-2026-86684 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 6. 10. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dne 9. 10. 2026.