CVE-2026-97859
Gitea API : divulgation du graphe social privé, des clés et des étoiles des utilisateurs
- Publié
- 18 oct. 2026
- Mise à jour
- 19 oct. 2026
- Attribution de CNA
- Gitea
- Preuve observée
- 4 nov. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NFaible · 30 prochains jours
- Percentile
- 23,9 %
- Date du modèle
- 4 nov. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Sept routes de l'API Gitea sous `/api/v1/users/{username}` (followers, following, following/{target}, starred, subscriptions, keys et gpg_keys) étaient enregistrées sans le middleware `individualPermsChecker` qui applique la visibilité de l'utilisateur cible. Un utilisateur authentifié pouvait donc lire les followers, la liste des abonnements, les dépôts mis en favori et surveillés ainsi que les clés SSH et GPG publiques d'un utilisateur ayant une visibilité limitée ou privée, qu'il ne pouvait pas voir autrement. Le problème a été corrigé dans les versions 1.27.3 et 28.0.0 et divulgué avec la version 28.2.0.
Sources
- CVE-2026-97859-CYB-AnalysisInformationnel
Devoir de cybersécurité sur CVE-2026-97859, analyse de gravité, correctifs et la Cyber Kill Chain.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.