CVE.org (no NVD analysis yet)· CNA Gitea

CVE-2026-116296: Gitea archived repository release, milestone and label modification

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 0/100)

Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
Вероятность эксплуатации в ближайшие 30 дней: 0,26% (FIRST EPSS).
Исправленная версия: Gitea Gitea 28.3.0.

Пока низкий приоритет. Обновитесь до Gitea Gitea 28.3.0 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

The API routes for releases, release assets, milestones and repository labels did not reject changes to archived repositories. A user with write access to an archived repository, or a holder of such a user's write-scoped token, could replace or delete release assets while keeping their download URLs, delete releases and tags, and create, edit or delete milestones and labels of a repository that is meant to be read-only. Changing requests on these routes now return 423 Locked for archived repositories.

—Proof of concept Есть исправление

Нарушение контроля доступа (IDOR)

EUVD-2026-114795

Опубликовано: 1 нояб. 2026 г.
Обновлено: 1 нояб. 2026 г.
EPSS: 0,2 % · 18-й процентиль
CWE: CWE-862

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 0 / 40 · —
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,2 %

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Есть PoC, боевого модуля нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

—

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Gitea). Не зависят от анализа CPE в NVD и обычно опережают его.

Gitea Gitea
- до 28.3.0затронута · semver

Тот же продукт

gitea: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-60004Gitea before 1.27.1 allows remote code execution via the diffpatch API through Git hook installation.KEV
76На этой неделе
CVE-2026-59774Gitea Org-mode file disclosure and code execution
60На этой неделе
CVE-2022-30781Gitea before 1.16.7 does not escape git fetch remote.
60На этой неделе

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-1141991 нояб. 2026 г. · Gitea contribution heatmap private activity disclosure to public-only tokens
0Наблюдать
← РаньшеCVE-2026-1162891 нояб. 2026 г. · Gitea public-only token bypass through Actions runner registration
0Наблюдать
Позже →CVE-2026-1164741 нояб. 2026 г. · Gitea Actions job token spoofing of instance-signed commits
0Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Gitea Gitea	28.3.0	Вендор (CNA)

Статус эксплойта

Есть proof of concept

Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.

Доказательство

Репозиторий PoC на GitHub ×1

Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.

Публичные свидетельства эксплойта
Источник	Тип	Дата
Репозиторий PoC на GitHub	stars:1	2026-11-01

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Первый PoC1 нояб. 2026 г.в тот же день
Публикация1 нояб. 2026 г.
Исправление1 нояб. 2026 г.в тот же день
Сегодня5 нояб. 2026 г.+4 дн.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

Yusufbek Anvarov (https://github.com/Yusufbek10)сообщил
https://github.com/thalewalanсообщил
https://github.com/bircniразработчик исправления

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-97859с разницей 14 дн.Gitea API disclosure of private user social graph, keys and stars
26Наблюдать
CVE-2026-109844с разницей 14 дн.Gitea watched repositories API disclosure after access revocation
17Наблюдать
CVE-2026-119533с разницей 0 дн.Gitea private pull request disclosure on project boards
0Наблюдать