CVE-2026-20904
— 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →
Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Gitea在切换OpenID URI可见性时，**未正确验证所有权**。
💥 **后果**：经过身份验证的用户，可以**篡改其他用户**的OpenID身份可见性设置。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：逻辑验证缺失。
📉 **CWE倾向**：缺乏所有权检查（Broken Access Control）。
⚠️ **核心问题**：系统允许用户修改非自己拥有的OpenID URI可见性状态。
Q3影响谁？（版本/组件）
📦 **组件**：Gitea（基于Go开发的轻量型Git服务）。
📅 **影响版本**：v1.25.4之前的所有版本。
✅ **修复版本**：v1.25.4。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**：
1. **隐私泄露**：强制改变其他用户的OpenID可见性（如从私有变公开）。
2. **身份关联**：可能导致用户身份与外部OpenID提供商的错误关联或暴露。
3. **非授权操作**：越权修改他人账户设置。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：**低**。
✅ **前提**：只需**经过身份验证**的普通用户账号。
⛔ **无需**：管理员权限或远程代码执行漏洞。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**：
🚫 **无公开PoC**：数据中`pocs`为空。
🌍 **在野利用**：暂无报告。
🔗 **修复PR**：#36361 和 #36346 已合并。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**：
1. **查版本**：确认Gitea版本是否 < v1.25.4。
2. **看日志**：检查是否有非所有者的OpenID URI可见性变更操作。
3. **扫描**：使用支持CVE-2026-20904检测的漏洞扫描器。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方已修复**：
✅ **补丁**：已发布 **Gitea v1.25.4**。
📝 **详情**：见GitHub Security Advisory (GHSA-jrpc-w85r-hgqx) 及官方博客。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**：
1. **升级**：立即升级至 v1.25.4+。
2. **权限收紧**：限制普通用户修改OpenID设置的能力（如果UI支持）。
3. **监控**：密切监控账户设置变更日志。
Q10急不急？（优先级建议）
⚡ **优先级**：**中高**。
📌 **理由**：涉及**隐私泄露**和**越权操作**，且利用门槛低（只需登录）。建议尽快升级，保护用户隐私数据。