CVE-2026-97859
Divulgación de la API de Gitea del grafo social privado, claves y estrellas de usuarios
- Publicado
- 18 oct 2026
- Actualizado
- 19 oct 2026
- Asignación de CNA
- Gitea
- Evidencia observada
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NBajo · próximos 30 días
- Percentil
- 23,9 %
- Fecha del modelo
- 4 nov 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Siete rutas de la API de Gitea bajo `/api/v1/users/{username}` (followers, following, following/{target}, starred, subscriptions, keys y gpg_keys) se registraron sin el middleware `individualPermsChecker` que aplica la visibilidad del usuario objetivo. Por lo tanto, un usuario autenticado podía leer los seguidores, la lista de seguidos, los repositorios marcados con estrella y observados, y las claves públicas SSH y GPG de un usuario con visibilidad limitada o privada, al que de otro modo no podría ver. El problema se corrigió en 1.27.3 y 28.0.0 y se divulgó con 28.2.0.
Fuentes
- CVE-2026-97859-CYB-AnalysisInformativo
Tarea de ciberseguridad sobre CVE-2026-97859, análisis de severidad, parcheo y la Cyber Kill Chain.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.