[TLP:CLEAR] Gitea opravuje 11 zraniteľností.
Gitea verziou 28.1.0 opravuje 11 zraniteľností. Najzávažnejšie z nich sú popísané nižšie, zvyšok nájdete na [1].
Neautentizovanému vzdialenému útočníkovi je v dôsledku nesprávneho spracovania HTML súborov z repozitára, ktoré sa zobrazia priamo v prehliadači namiesto stiahnutia, umožnené spustiť ľubovoľný JavaScript v kontexte aplikácie, keď obeť otvorí daný súbor [2].
Zraniteľnosť sa nachádza v produkte:
- Gitea; <28.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:L/A:N
Viac informácií:
- CVE-2026-96594 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 6. 10. 2026.
Autentizovanému vzdialenému útočníkovi s oprávneniami administrátora repozitára je v dôsledku chýbajúcej kontroly v API umožnené zriadiť automatické odzrkadľovanie repozitára na externý server, hoci to správca servera zakázal [3].
Zraniteľnosť sa nachádza v produkte:
- Gitea; <28.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Viac informácií:
- CVE-2026-97208 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 6. 10. 2026.
Autentizovanému vzdialenému útočníkovi s oprávneniami administrátora repozitára je umožnené zapísať obsah do súborového systému servera, pretože Gitea overí oprávnenie u vlastníka repozitára namiesto používateľa, ktorý požiadavku odoslal [4].
Zraniteľnosť sa nachádza v produkte:
- Gitea; <28.1.0
CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N
Viac informácií:
- CVE-2026-86684 na cve.org, NVD
- CWE-863: Incorrect Authorization na cwe.mitre.org
Zraniteľnosť bola verejne oznámená 6. 10. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dňa 9. 10. 2026.