Gitea: rotas da API permitem alterar releases e etiquetas de repositórios arquivados
No Gitea, as rotas da API de releases, anexos, marcos e etiquetas não rejeitavam alterações em repositórios arquivados, o que permite a quem tem acesso de escrita apagar releases e etiquetas. Há correção publicada (consulte as fontes). CVSS 6,5.
- Identificador: CVE-2026-116296
- Publicado em: 2026-11-01
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 6.5 (MEDIUM)
Descrição (texto original em inglês):
The API routes for releases, release assets, milestones and repository labels did not reject changes to archived repositories. A user with write access to an archived repository, or a holder of such a user's write-scoped token, could replace or delete release assets while keeping their download URLs, delete releases and tags, and create, edit or delete milestones and labels of a repository that is meant to be read-only. Changing requests on these routes now return 423 Locked for archived repositories.
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnica MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1565.001, Manipulação de dados armazenados (Stored Data Manipulation)
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (blog.gitea.com)blog.gitea.com
- Referência (github.com)github.com
- Referência (github.com)github.com
- Técnica MITRE ATT&CK T1565.001attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.