CVE-2026-119625— Gitea 用户与组织 feed token 范围绕过漏洞
一分钟漏洞结论
影响对象
Gitea Gitea
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Web 路由在通过 HTTP 基本身份验证（HTTP Basic Authentication）接收个人访问令牌时，未对其作用域（scope）进行检查。因此，一个被限制在不相关作用域（例如 ）的令牌，仍可通过用户 RSS/Atom 源和个人资料活动标签页读取其所有者的私人活动记录，并可通过组织源读取私有组织中其他成员的活动记录；而仅限公开访问的令牌甚至能够列出所有者的私有仓库和私有组织，并渲染其个人资料中的私有 README 文件。对于站点管理员的令牌，此问题可影响系统中的每一个账户。目前，该路由仅接受用于订阅源（
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-119625 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Gitea user and organization feed token scope bypass
来源: CVE Program / CVE List V5
Vulnerability Description
The `/{username}` web route accepted personal access tokens over HTTP Basic authentication without checking their scope. A token confined to an unrelated scope, such as `read:issue`, could read its owner's private activity through the user RSS/Atom feed and the profile activity tab, and other members' activity in a private organization through the organization feed; a public-only token could list the owner's private repositories and organizations and render private profile READMEs. For a site administrator's token this applied to every account. Tokens are now accepted on this route only for feeds, which require `read:user` or `read:organization`.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-119625 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-119625 的情报信息
请登录查看更多情报信息。
CVE-2026-119625 其他参考 (5)
-
https://github.com/go-gitea/gitea/releases/tag/v28.3.0 release-notes
-
https://blog.gitea.com/release-of-28.3.0/ release-notes
同批安全公告 · Gitea · 2026-11-01 · 共 20 条
| CVE-2026-117646 | Gitea 个人资料页面私有仓库列表泄露漏洞 | |
| CVE-2026-118386 | Gitea Actions 拉取请求审查工作流信任漏洞 | |
| CVE-2026-120263 | Gitea OAuth2 账号自动关联接管漏洞 | |
| CVE-2026-112887 | Gitea Actions 私有仓库枚举漏洞 | |
| CVE-2026-113429 | Gitea Actions 存储型跨站脚本漏洞 | |
| CVE-2026-114199 | Gitea 贡献热力图私活动向公开令牌披露漏洞 | |
| CVE-2026-116289 | Gitea Actions 注册绕过仅公开 Token 漏洞 | |
| CVE-2026-116296 | Gitea 归档仓库修改漏洞 | |
| CVE-2026-116474 | Gitea Actions 实例签名提交令牌伪造漏洞 | |
| CVE-2026-117635 | Gitea 管理 API 公开令牌范围绕过漏洞 | |
| CVE-2026-119627 | Gitea 公开令牌泄露受限个人资料漏洞 | |
| CVE-2026-117649 | Gitea 通过依赖时间线事件泄露私有问题 | |
| CVE-2026-117677 | Gitea Helm chart 上传解压拒绝服务漏洞 | |
| CVE-2026-117685 | Gitea 私有 OCI 包令牌越权访问漏洞 | |
| CVE-2026-118394 | Gitea 公开令牌泄露私有群组信息漏洞 | |
| CVE-2026-118395 | Gitea 仓库与组织创建公开令牌绕过漏洞 | |
| CVE-2026-118504 | Gitea 归档仓库 API 可修改 issue 漏洞 | |
| CVE-2026-119441 | Gitea 批量删除组织仓库时公开令牌绕过漏洞 | |
| CVE-2026-119533 | Gitea 项目看板私有拉取请求泄露漏洞 |