Gitea email settings allow changing another user's primary email address

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Gitea). Не зависят от анализа CPE в NVD и обычно опережают его.

• Gitea Gitea Open Source Git Server

  • до 1.25.5затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-6886Inproper Sanitation of field leading to stored XSS
  50В плане
• CVE-2026-20896Gitea Docker image trusts spoofable reverse-proxy headers by default
  40В плане
• CVE-2026-56654Privilege Escalation via Access Token Scope Escalation in API
  39Наблюдать
• CVE-2026-58422Improper authorization on OAuth sign-in callback silently re-enables administrator-disabled accounts
  39Наблюдать
• CVE-2026-27780Gitea pre-receive hook can miss branch-protection checks after scanner errors
  39Наблюдать
• CVE-2026-26292Gitea LFS mirror synchronization bypasses migration HTTP transport restrictions
  39Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.