CVE-2026-97859
Gitea API द्वारा निजी उपयोगकर्ता सोशल ग्राफ़, कुंजियों और स्टार्स का खुलासा
- प्रकाशित
- 18 अक्टू॰ 2026
- अद्यतन
- 19 अक्टू॰ 2026
- सीएनए असाइन करना
- Gitea
- साक्ष्य देखे गए
- 4 नव॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:Nकम · अगले 30 दिन
- प्रतिशत
- 23.9%
- मॉडल दिनांक
- 4 नव॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
`/api/v1/users/{username}` के अंतर्गत सात Gitea API रूट (followers, following, following/{target}, starred, subscriptions, keys और gpg_keys) को `individualPermsChecker` मिडलवेयर के बिना पंजीकृत किया गया था, जो लक्षित उपयोगकर्ता की दृश्यता को लागू करता है। इसलिए एक प्रमाणित उपयोगकर्ता सीमित या निजी दृश्यता वाले उपयोगकर्ता के followers, following सूची, starred और watched रिपॉज़िटरी तथा सार्वजनिक SSH और GPG कुंजियाँ पढ़ सकता था, जिन्हें वह अन्यथा नहीं देख सकता था। यह समस्या 1.27.3 और 28.0.0 में ठीक की गई और 28.2.0 के साथ प्रकट की गई।
स्रोत
- CVE-2026-97859-CYB-Analysisजानकारीपूर्ण
CVE-2026-97859 पर साइबर सुरक्षा असाइनमेंट, गंभीरता विश्लेषण, पैचिंग, और साइबर किल चेन।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।