Випущено Gitea 28.3: значні покращення безпеки та продуктивності

Gitea, самостійно хостингова служба Git і платформа для розробки програмного забезпечення, випустила версію 28.3. Це третє обслуговування оновлення в серії 28.x, яке вирішує багато проблем безпеки. Важливо зазначити, що ця версія містить поліпшення безпеки, які необхідні для захисту даних користувачів.

Виправлення вразливостей безпеки в Gitea

Багато з вразливостей пов’язані з недостатньою строгістю реалізації дозволів токенів доступу. Це може потенційно дозволити обмеженим токенам отримувати доступ до інформації про приватні репозиторії або виконувати операції поза їх обсягом. Серед серйозних виправлень варто виділити CVE-2026-120263. Ця вразливість в OAuth2 може призвести до отримання доступу до облікового запису в установках з автоматичним зв’язуванням облікових записів та відкритою реєстрацією.

За таких умов, зловмисник може зв’язати зовнішню особу з існуючим обліковим записом і увійти без необхідності вводити пароль. Інша важлива проблема – це CVE-2026-118386, що стосується робочих процесів Actions, які активуються оглядом pull request. Користувач з правами читання може викликати виконання робочих процесів без схвалення, отримуючи доступ до секретів репозиторію.

Додаткові виправлення та поліпшення в Gitea 28.3

Окрім виправлень безпеки, Gitea 28.3 впроваджує кілька покращень продуктивності. Панелі проблем і pull request тепер завантажуються швидше, як і списки проблем та pull request репозиторію. Обробка статусу комітів також оптимізована, що дозволяє уникнути повторного завантаження одного і того ж репозиторію.

Система Actions отримує подальші покращення, включаючи перевірку кешованих токенів запуску та зменшення накладних витрат SQLite при доступі до черг завдань. Виправлення також стосується того, щоб запобігти запуску завдань для репозиторіїв, де Actions відключені.

Управління репозиторіями також отримало декілька покращень. Статистика контрибуторів більше не зависає під час генерації, а дифи, пов’язані з перейменованими файлами, тепер завантажують обидві версії файлів правильно. Переглядач файлів і редактор тепер поважають конфігурацію .editorconfig для вибраного Git посилання.

Нарешті, надійність міграції покращено завдяки пагінації на основі курсору для міграцій проблем GitHub. Відновлено сумісність з OneDev 16.8 і новішими версіями.

Для отримання додаткової інформації відвідайте офіційне оголошення про випуск.