CVE-2026-20904 — 神龙十问 AI 深度分析摘要
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：Gitea在切换OpenID URI可见性时，**未正确验证所有权**。 💥 **后果**：经过身份验证的用户，可以**篡改其他用户**的OpenID身份可见性设置。
Q2根本原因？（CWE/缺陷点）
🔍 **缺陷点**：逻辑验证缺失。 📉 **CWE倾向**：缺乏所有权检查（Broken Access Control）。 ⚠️ **核心问题**：系统允许用户修改非自己拥有的OpenID URI可见性状态。
Q3影响谁？（版本/组件）
📦 **组件**：Gitea（基于Go开发的轻量型Git服务）。 📅 **影响版本**：v1.25.4之前的所有版本。 ✅ **修复版本**：v1.25.4。
Q4黑客能干啥？（权限/数据）
🕵️ **黑客能力**： 1. **隐私泄露**：强制改变其他用户的OpenID可见性（如从私有变公开）。 2. **身份关联**：可能导致用户身份与外部OpenID提供商的错误关联或暴露。 3. **非授权操作**：越权修改他人账户设置。
Q5利用门槛高吗？（认证/配置）
🔑 **门槛**：**低**。 ✅ **前提**：只需**经过身份验证**的普通用户账号。 ⛔ **无需**：管理员权限或远程代码执行漏洞。
Q6有现成Exp吗？（PoC/在野利用）
📜 **Exp/PoC**： 🚫 **无公开PoC**：数据中`pocs`为空。 🌍 **在野利用**：暂无报告。 🔗 **修复PR**：#36361 和 #36346 已合并。
Q7怎么自查？（特征/扫描）
🔎 **自查方法**： 1. **查版本**：确认Gitea版本是否 < v1.25.4。 2. **看日志**：检查是否有非所有者的OpenID URI可见性变更操作。 3. **扫描**：使用支持CVE-2026-20904检测的漏洞扫描器。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方已修复**： ✅ **补丁**：已发布 **Gitea v1.25.4**。 📝 **详情**：见GitHub Security Advisory (GHSA-jrpc-w85r-hgqx) 及官方博客。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级**：立即升级至 v1.25.4+。 2. **权限收紧**：限制普通用户修改OpenID设置的能力（如果UI支持）。 3. **监控**：密切监控账户设置变更日志。
Q10急不急？（优先级建议）
⚡ **优先级**：**中高**。 📌 **理由**：涉及**隐私泄露**和**越权操作**，且利用门槛低（只需登录）。建议尽快升级，保护用户隐私数据。