CVE-2026-117646— Gitea 个人资料页面私有仓库列表泄露漏洞
一分钟漏洞结论
影响对象
Gitea Gitea
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
用户资料页面中的“仓库”、“星标”和“关注”标签页，以及组织主页的仓库列表，在所有已登录的请求中均包含了私有仓库，且未检查该请求是否使用了仅限公开资源（ ）的个人访问令牌。持有此类令牌的攻击者可以列出该令牌所有者可见的私有仓库，以及该用户对私有仓库的星标和关注记录。API 接口和资料页面的“活动”标签页此前已实施了该限制。此次漏洞的影响范围仅限于仓库名称及元数据的泄露，不涉及仓库内容的暴露。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-117646 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Gitea private repository listing to public-only tokens on profiles
来源: CVE Program / CVE List V5
Vulnerability Description
The repositories, stars and watching tabs of user profiles and the repository list of organization home pages included private repositories for every signed-in request without checking whether the request used a personal access token restricted to public resources (`public-only`). A holder of such a token could list the private repositories visible to the token's owner, and that user's stars and watches of private repositories. The API and the profile activity tab already applied the restriction. The impact is disclosure of repository names and metadata, not of repository content.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-117646 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-117646 的情报信息
请登录查看更多情报信息。
CVE-2026-117646 其他参考 (5)
-
https://github.com/go-gitea/gitea/releases/tag/v28.3.0 release-notes
-
https://blog.gitea.com/release-of-28.3.0/ release-notes
同批安全公告 · Gitea · 2026-11-01 · 共 20 条
| CVE-2026-117649 | Gitea 通过依赖时间线事件泄露私有问题 | |
| CVE-2026-118386 | Gitea Actions 拉取请求审查工作流信任漏洞 | |
| CVE-2026-120263 | Gitea OAuth2 账号自动关联接管漏洞 | |
| CVE-2026-112887 | Gitea Actions 私有仓库枚举漏洞 | |
| CVE-2026-113429 | Gitea Actions 存储型跨站脚本漏洞 | |
| CVE-2026-114199 | Gitea 贡献热力图私活动向公开令牌披露漏洞 | |
| CVE-2026-116289 | Gitea Actions 注册绕过仅公开 Token 漏洞 | |
| CVE-2026-116296 | Gitea 归档仓库修改漏洞 | |
| CVE-2026-116474 | Gitea Actions 实例签名提交令牌伪造漏洞 | |
| CVE-2026-117635 | Gitea 管理 API 公开令牌范围绕过漏洞 | |
| CVE-2026-119627 | Gitea 公开令牌泄露受限个人资料漏洞 | |
| CVE-2026-117677 | Gitea Helm chart 上传解压拒绝服务漏洞 | |
| CVE-2026-117685 | Gitea 私有 OCI 包令牌越权访问漏洞 | |
| CVE-2026-118394 | Gitea 公开令牌泄露私有群组信息漏洞 | |
| CVE-2026-118395 | Gitea 仓库与组织创建公开令牌绕过漏洞 | |
| CVE-2026-118504 | Gitea 归档仓库 API 可修改 issue 漏洞 | |
| CVE-2026-119441 | Gitea 批量删除组织仓库时公开令牌绕过漏洞 | |
| CVE-2026-119533 | Gitea 项目看板私有拉取请求泄露漏洞 | |
| CVE-2026-119625 | Gitea 用户与组织 feed token 范围绕过漏洞 |