CVE-2026-118504— Gitea 归档仓库 API 可修改 issue 漏洞
一分钟漏洞结论
影响对象
Gitea Gitea
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Web 界面会阻止对已归档仓库的 Issue（问题）和 Pull Request（拉取请求）进行修改，但 REST API 中的多个 Issue 相关路由未检查仓库是否已归档。若某用户被允许修改已归档仓库中的 Issue，则可通过 API 执行编辑、关闭或删除 Issue、修改标签和截止日期、添加或删除跟踪时间与计时器、添加表情反应、更改 Issue 锁定状态以及置顶 Issue 等操作，从而篡改本应通过归档机制冻结的数据。Gitea 28.2.0 版本已在 Issue 的编辑、删除和标签路由中添加了该检查；Git
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-118504 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Gitea issue changes on archived repositories through the API
来源: CVE Program / CVE List V5
Vulnerability Description
The web interface blocks issue and pull request changes on archived repositories, but several issue routes of the REST API did not check whether the repository is archived. A user allowed to change issues of an archived repository could use the API to edit, close or delete issues, change labels and deadlines, add or delete tracked time and stopwatches, add reactions, change issue blocks, and pin issues, altering data that archiving is meant to freeze. Gitea 28.2.0 added the check to the issue edit, delete and label routes; Gitea 28.3.0 applies it to all modifying repository API requests.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
N/A
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-118504 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-118504 的情报信息
请登录查看更多情报信息。
CVE-2026-118504 补丁与修复 (2)
CVE-2026-118504 其他参考 (5)
-
https://github.com/go-gitea/gitea/releases/tag/v28.3.0 release-notes
-
https://blog.gitea.com/release-of-28.3.0/ release-notes
同批安全公告 · Gitea · 2026-11-01 · 共 20 条
| CVE-2026-117646 | Gitea 个人资料页面私有仓库列表泄露漏洞 | |
| CVE-2026-118386 | Gitea Actions 拉取请求审查工作流信任漏洞 | |
| CVE-2026-120263 | Gitea OAuth2 账号自动关联接管漏洞 | |
| CVE-2026-112887 | Gitea Actions 私有仓库枚举漏洞 | |
| CVE-2026-113429 | Gitea Actions 存储型跨站脚本漏洞 | |
| CVE-2026-114199 | Gitea 贡献热力图私活动向公开令牌披露漏洞 | |
| CVE-2026-116289 | Gitea Actions 注册绕过仅公开 Token 漏洞 | |
| CVE-2026-116296 | Gitea 归档仓库修改漏洞 | |
| CVE-2026-116474 | Gitea Actions 实例签名提交令牌伪造漏洞 | |
| CVE-2026-117635 | Gitea 管理 API 公开令牌范围绕过漏洞 | |
| CVE-2026-119627 | Gitea 公开令牌泄露受限个人资料漏洞 | |
| CVE-2026-117649 | Gitea 通过依赖时间线事件泄露私有问题 | |
| CVE-2026-117677 | Gitea Helm chart 上传解压拒绝服务漏洞 | |
| CVE-2026-117685 | Gitea 私有 OCI 包令牌越权访问漏洞 | |
| CVE-2026-118394 | Gitea 公开令牌泄露私有群组信息漏洞 | |
| CVE-2026-118395 | Gitea 仓库与组织创建公开令牌绕过漏洞 | |
| CVE-2026-119441 | Gitea 批量删除组织仓库时公开令牌绕过漏洞 | |
| CVE-2026-119533 | Gitea 项目看板私有拉取请求泄露漏洞 | |
| CVE-2026-119625 | Gitea 用户与组织 feed token 范围绕过漏洞 |