CVE-2026-22874
Gitea वेबहुक और माइग्रेशन अनुमति-सूची फ़िल्टरिंग SSRF की अनुमति देती है
- प्रकाशित
- 3 जुल॰ 2026
- अद्यतन
- 7 जुल॰ 2026
- सीएनए असाइन करना
- Gitea
- साक्ष्य देखे गए
- 17 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:Nकम · अगले 30 दिन
- प्रतिशत
- 38.8%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
Gitea के संस्करण 1.26.2 तक और इसमें शामिल, वेबहुक और माइग्रेशन अनुमति-सूची फ़िल्टरिंग में अपूर्ण SSRF सुरक्षा है।
स्रोत
- cve-2026-22874-gitea-ssrf-allowlistजानकारीपूर्ण
CVE-2026-22874 रिपोर्ट: Gitea वेबहुक/माइग्रेशन में अपूर्ण SSRF अनुमति-सूची (IPv6 संक्रमण और क्लाउड मेटाडेटा)। Gitea 1.26.3 में ठीक किया गया।
CVE-2026-22874 के लिए प्रूफ-ऑफ-कॉन्सेप्ट शोषण, Gitea संस्करण 1.26.3 से पहले में एक सर्वर-साइड अनुरोध जालसाजी (SSRF) भेद्यता। अधिकृत सुरक्षा परीक्षण और शमन सत्यापन के लिए अभिप्रेत है।
Gitea के hostmatcher allow-list में authenticated SSRF को प्रदर्शित करने वाली proof-of-concept lab, जहाँ http://0.0.0.1 पर भेजा गया webhook उन loopback services तक पहुँचता है जहाँ 127.0.0.1 नहीं पहुँच सकता।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।