CVE-2026-97859
Divulgazione tramite API di Gitea del grafo sociale privato dell'utente, delle chiavi e delle stelle
- Pubblicato
- 18 ott 2026
- Aggiornato
- 19 ott 2026
- Assegnazione CNA
- Gitea
- Evidenza osservata
- 4 nov 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NBasso · prossimi 30 giorni
- Percentile
- 23,9%
- Data del modello
- 4 nov 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
Sette route API di Gitea sotto `/api/v1/users/{username}` (followers, following, following/{target}, starred, subscriptions, keys e gpg_keys) erano registrate senza il middleware `individualPermsChecker` che impone la visibilità dell'utente di destinazione. Un utente autenticato poteva quindi leggere i follower, la lista dei following, i repository starred e watched e le chiavi pubbliche SSH e GPG di un utente con visibilità limitata o privata, che altrimenti non avrebbe potuto vedere. Il problema è stato corretto nelle versioni 1.27.3 e 28.0.0 ed è stato divulgato con la 28.2.0.
Fonti
- CVE-2026-97859-CYB-AnalysisInformativo
Assegnazione di cybersecurity su CVE-2026-97859, analisi della gravità, patching e Cyber Kill Chain.
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.