CVE-2026-97859

中已发布

Gitea API 泄露私有用户社交图谱、密钥和星标

已发布: 2026年10月18日
已更新: 2026年10月19日
分配 CNA: Gitea
观察到的证据: 2026年11月4日

初级CVSS

6.5/ 10中

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

EPSS概率估计

0.3%

低 · 未来 30 天

百分位: 23.9%
型号日期: 2026年11月4日

EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。

总结

`/api/v1/users/{username}` 下的七个 Gitea API 路由（followers、following、following/{target}、starred、subscriptions、keys 和 gpg_keys）在注册时未使用强制校验目标用户可见性的 `individualPermsChecker` 中间件。因此，已认证用户能够读取具有受限或私有可见性、原本无法看到的用户的关注者、关注列表、标星和关注仓库以及公开 SSH 和 GPG 密钥。该问题已在 1.27.3 和 28.0.0 中修复，并在 28.2.0 中披露。

来源

CVE-2026-97859-CYB-Analysis信息
针对 CVE-2026-97859 的网络安全作业，涵盖严重性分析、补丁修复以及网络杀伤链（Cyber Kill Chain）。

负责任的使用

仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。