Оновлення Gitea до версії 28.2: Важливі виправлення безпеки

Gitea, популярний open-source сервіс Git, що розміщується на власних серверах, випустив версію 28.2. Це друге виправлення в серії 28.x, яке вирішує численні вразливості безпеки та помилки, пов’язані з Actions, PR, аутентифікацією та управлінням пакетами.

Вразливості у версії 28.2 Gitea

Розробники виявили 12 вразливостей, з яких дев’ять виправлено у версії 28.2. Інші три були виправлені у попередніх релізах, але тепер стали загальнодоступними.

Серед найсерйозніших проблем є CVE-2026-109553. Це вразливість аутентифікації SSH, що пов’язана з неправильними перевірками належності сертифікатів. У певних конфігураціях зловмисник міг аутентифікуватися як інший користувач, експлуатуючи алгоритми, якими Gitea співвідносила основи сертифікатів із збереженими відкритими ключами.

Ще одну важливу виправлення стосується CVE-2026-104627, вразливості OpenID, яка дозволяла зловмисникам асоціювати свою власну особистість з іншим користувачем і підписуватися як цей користувач. Тепер Gitea вимагає короткочасний параметр стану, пов’язаний з аутентифікованим користувачем, при зв’язуванні OpenID ідентичностей.

Інші вдосконалення Gitea 28.2

Оновлення також виправляє декілька проблем з розкриттям інформації, у тому числі CVE-2026-110311, яка могла б вразливити прикріплення з приватних репозиторіїв через функціональність проекту. Інші патчі вирішують проблеми з несанкціонованими взаємодіями з закритими питаннями, неправильними правами на прикріплення та атакою типу CSRF, що стосується тем repository.

Також CVE-2026-105964 виправляє вразливість відмови в обслуговуванні в API Actions artifact v4. Запити без обмеження розміру могли б вичерпати пам’ять сервера. Тепер об’єми запитів обмежені до 1 MiB.

З функціональної точки зору Gitea 28.2 приносить кілька поліпшень для Actions. Скасовані повторно використовувані робочі процеси більше не залишаються на невизначений час у стані “скасовується”. Плюс, заплановані робочі процеси тепер правильно відстежують зміни в основній гілці, а парсинг YAML для робочих процесів був виправлений.

Поліпшення в обробці pull request

Обробка pull request також була покращена. Виправлено випадки, коли порожні PR помилково відзначалися як злиті. Коментарі до огляду тепер відображають відповідний контекст коду. Імена файлів, що містять не-ASCII символи, тепер відображаються правильно в дереві diff файлів.

Інші виправлення відновлюють сумісність із старими URL для tarball пакетів npm, поліпшують аутентифікацію WebAuthn для клієнтів WebKit та запобігають певним помилкам служби сповіщень, які могли б призвести до збою Gitea.

З огляду на кількість та характер виправлень безпеки, команда Gitea настійно рекомендує оновити програмне забезпечення якомога швидше. Для отримання додаткової інформації відвідайте офіційне оголошення про випуск.