FICHE CVE

CVE-2026-20912

Publiée le 2026-01-22 · Dernière modification le 2026-07-15

🇫🇷 EN BREF

Les installations de Gitea sont affectées par une faille dans la manière dont le système valide la propriété des dépôts pour les pièces jointes des versions (releases). Un attaquant non authentifié disposant d'un accès réseau peut contourner les restrictions de confidentialité pour consulter ou modifier des fichiers sensibles destinés à des dépôts privés. Comme cela ne nécessite aucun privilège particulier ni interaction de l'utilisateur, l'exécution est triviale une fois la cible identifiée.

CVSS 3.19.1 CRITIQUE

Type de faiblesse

Contrôle d'accès incorrect · CWE-284 Contournement d'autorisation par clé contrôlée par l'utilisateur (IDOR) · CWE-639 CWE-283

Publiée2026-01-22

Dernière modification2026-07-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéÉlevé

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

Gitea does not properly validate repository ownership when linking attachments to releases. An attachment uploaded to a private repository could potentially be linked to a release in a different public repository, making it accessible to unauthorized users.