CVE-2026-95106
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.1
- EPSS
- 0.3%
- CWE
- CWE-706
- KEV Durumu
- Hayır
Yayım tarihi: 6 Ekim 2026
Etkilenen: gitea gitea
Gitea, Git'in kendi tutarlılık kontrollerinin reddettiği, aynı ada sahip iki girişe sahip Git ağaçlarını kabul etti. Gitea'nın web görünümleri bu tür bir yolu ilk girişe çözdü, ancak `git checkout`, Gitea Eylemleri ve sürüm arşivleri sonuncusunu kullandı. Bir katkıda bulunan, diff ve dosya görünümleri zararsız içerik gösterirken, aynı commit'de CI ve kontrollerin farklı, saldırgan tarafından kontrol edilen içeriği kullandığı bir çekme isteğini açabilir. Gelen nesneler şimdi tutarlılık açısından kontrol ediliyor; mevcut depolarda zaten depolanmış olan nesneler yeniden tarama yapılmıyor.
Orijinal açıklama (İngilizce)
Gitea accepted pushed Git trees containing two entries with the same name, which Git's own consistency checks reject. Gitea's web views resolved such a path to the first entry, while `git checkout`, Gitea Actions, and release archives use the last. A contributor could open a pull request whose diff and file views show benign content while CI and checkouts at the same commit use different, attacker-controlled content. Incoming objects are now checked for consistency; objects already stored in existing repositories are not rescanned.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.