CVE-2026-119627— Gitea 公开令牌泄露受限个人资料漏洞
一分钟漏洞结论
影响对象
Gitea Gitea
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
用户和组织的 Web 个人资料页面以及 RSS/Atom 订阅源路由，仅检查了已登录的访问者是否有权查看受限可见性的所有者，却未考虑用于身份验证的个人访问令牌（Personal Access Token）的 限制。任何持有 令牌的用户，均可通过 HTTP 基本身份验证（Basic Authentication）提交该令牌，从而读取受限可见性用户和组织的个人资料及活动订阅源。这些信息本应对匿名访客隐藏，且在等效的 API 路由中会被拒绝访问。此次披露涉及存在性、个人资料元数据及公开活动信息，但并未授予写权限。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-119627 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Gitea limited-visibility profile disclosure with public-only tokens
来源: CVE Program / CVE List V5
Vulnerability Description
The web profile and RSS/Atom feed routes of users and organizations checked only whether a signed-in viewer could see a limited-visibility owner, without considering the `public-only` restriction of the personal access token used to authenticate. Any user holding a public-only token could send it over HTTP Basic authentication to read the profile and activity feed of limited-visibility users and organizations, which are hidden from anonymous visitors and refused on the equivalent API routes. The disclosure covers existence, profile metadata and public activity; it does not grant write access.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
CWE-1220
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-119627 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-119627 的情报信息
请登录查看更多情报信息。
CVE-2026-119627 其他参考 (7)
-
https://github.com/go-gitea/gitea/releases/tag/v28.3.0 release-notes
-
https://blog.gitea.com/release-of-28.3.0/ release-notes
同批安全公告 · Gitea · 2026-11-01 · 共 20 条
| CVE-2026-117646 | Gitea 个人资料页面私有仓库列表泄露漏洞 | |
| CVE-2026-118386 | Gitea Actions 拉取请求审查工作流信任漏洞 | |
| CVE-2026-120263 | Gitea OAuth2 账号自动关联接管漏洞 | |
| CVE-2026-112887 | Gitea Actions 私有仓库枚举漏洞 | |
| CVE-2026-113429 | Gitea Actions 存储型跨站脚本漏洞 | |
| CVE-2026-114199 | Gitea 贡献热力图私活动向公开令牌披露漏洞 | |
| CVE-2026-116289 | Gitea Actions 注册绕过仅公开 Token 漏洞 | |
| CVE-2026-116296 | Gitea 归档仓库修改漏洞 | |
| CVE-2026-116474 | Gitea Actions 实例签名提交令牌伪造漏洞 | |
| CVE-2026-117635 | Gitea 管理 API 公开令牌范围绕过漏洞 | |
| CVE-2026-119625 | Gitea 用户与组织 feed token 范围绕过漏洞 | |
| CVE-2026-117649 | Gitea 通过依赖时间线事件泄露私有问题 | |
| CVE-2026-117677 | Gitea Helm chart 上传解压拒绝服务漏洞 | |
| CVE-2026-117685 | Gitea 私有 OCI 包令牌越权访问漏洞 | |
| CVE-2026-118394 | Gitea 公开令牌泄露私有群组信息漏洞 | |
| CVE-2026-118395 | Gitea 仓库与组织创建公开令牌绕过漏洞 | |
| CVE-2026-118504 | Gitea 归档仓库 API 可修改 issue 漏洞 | |
| CVE-2026-119441 | Gitea 批量删除组织仓库时公开令牌绕过漏洞 | |
| CVE-2026-119533 | Gitea 项目看板私有拉取请求泄露漏洞 |