CVE-2026-97859
中公開済み
Gitea API におけるプライベートユーザーのソーシャルグラフ、キー、スターの情報漏洩
- 公開済み
- 2026/10/18
- 更新済み
- 2026/10/19
- CNA の割り当て
- Gitea
- 観察された証拠
- 2026/11/04
プライマリ CVSS
6.5/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N0.3%
低 · 今後 30 日間
- パーセンタイル
- 23.9%
- モデルの日付
- 2026/11/04
EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。
概要
`/api/v1/users/{username}` 配下の7つの Gitea API ルート（followers、following、following/{target}、starred、subscriptions、keys、gpg_keys）が、対象ユーザーの可視性を強制する `individualPermsChecker` ミドルウェアなしで登録されていました。そのため、認証済みユーザーは、本来なら閲覧できない限定公開または非公開の可視性を持つユーザーのフォロワー、フォローリスト、スター付きおよびウォッチ中のリポジトリ、公開 SSH キーと GPG キーを読み取ることができました。この問題は 1.27.3 と 28.0.0 で修正され、28.2.0 で開示されました。
ソース
CVE-2026-97859に関するサイバーセキュリティ課題、深刻度分析、パッチ適用、およびサイバーキルチェーン。
責任ある使用
脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイト コードや悪意のあるペイロードは保存しません。