CVE-2026-97208— Gitea 推送镜像API绕过禁用新推送策略
一分钟漏洞结论
影响对象
Gitea Gitea
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Gitea 用于创建推送镜像的 API 端点（ ）仅检查是否启用了镜像功能，而未验证 Web 界面所强制执行的 配置项。因此，即使站点管理员已禁用推送镜像，仓库管理员仍可在该类实例上创建新的推送镜像。推送镜像会在每次提交或按预定计划，将仓库的所有引用（refs）推送到由调用者指定的远程仓库。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-97208 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Gitea push mirror API bypass of DISABLE_NEW_PUSH policy
来源: CVE Program / CVE List V5
Vulnerability Description
The Gitea API endpoint for creating push mirrors (`POST /api/v1/repos/{owner}/{repo}/push_mirrors`) checked only whether mirroring was enabled and not the `[mirror] DISABLE_NEW_PUSH` setting that the web interface enforces. A repository administrator could therefore create new push mirrors on instances where the site administrator had disabled them. A push mirror pushes all refs of the repository to a remote chosen by the caller, on each commit or on a schedule.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-97208 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-97208 的情报信息
请登录查看更多情报信息。
CVE-2026-97208 其他参考 (5)
-
https://github.com/go-gitea/gitea/releases/tag/v28.1.0 release-notes
-
https://blog.gitea.com/release-of-28.1.0/ release-notes
同批安全公告 · Gitea · 2026-10-06 · 共 30 条
| CVE-2026-96399 | Gitea 通过外部问题跟踪器模式导致拒绝服务漏洞 | |
| CVE-2026-97626 | Gitea profile feed disclosure bypassing user visibility | |
| CVE-2026-96594 | Gitea repository media API stored XSS | |
| CVE-2026-104633 | Gitea migration memory exhaustion from zero page size | |
| CVE-2026-101023 | Gitea OAuth2 refresh token grant accepts access tokens | |
| CVE-2026-105267 | Gitea tag delete route deletes releases without release permission | |
| CVE-2026-105268 | Gitea issue attachment API allows changing comment attachments | |
| CVE-2026-89182 | Gitea push-to-create bypass of FORCE_PRIVATE policy | |
| CVE-2026-86684 | Gitea 推送镜像本地路径检查漏洞 | |
| CVE-2026-73278 | Gitea WebAuthn绕过OAuth和OIDC登录漏洞 | |
| CVE-2026-79960 | Gitea部署密钥推送漏洞 | |
| CVE-2026-70357 | Gitea 仓库迁移通过DNS重绑定实现SSRF | |
| CVE-2026-96580 | Gitea Actions 通过大型静态矩阵内存耗尽漏洞 | |
| CVE-2026-96589 | Gitea 私有仓库权限泄露漏洞 | |
| CVE-2026-96400 | Gitea 通过 ALLOWED_DOMAINS 迁移 SSRF 到保留地址漏洞 | |
| CVE-2026-94205 | Gitea Fork工作流审批绕过漏洞 | |
| CVE-2026-96404 | Gitea 安装程序现有账户认证绕过漏洞 | |
| CVE-2026-104626 | Gitea Fork工作流任务延迟审批复活漏洞 | |
| CVE-2026-104632 | Gitea 通过取消和重新运行实现 fork 工作流审批绕过漏洞 | |
| CVE-2026-104636 | Gitea 镜像与拉取中通过Git HTTP重定向的SSRF漏洞 |
显示前 20 条，共 30 条。 查看全部 → →
IV. Related Vulnerabilities
Same product: Gitea
-
CVE-2026-97626
Gitea profile feed disclosure bypassing user visibility -
CVE-2026-96594
Gitea repository media API stored XSS -
CVE-2026-89182
Gitea push-to-create bypass of FORCE_PRIVATE policy -
CVE-2026-105268
Gitea issue attachment API allows changing comment attachmen -
CVE-2026-105267
Gitea tag delete route deletes releases without release perm
Same vendor: Gitea
-
CVE-2026-97626
Gitea profile feed disclosure bypassing user visibility -
CVE-2026-96594
Gitea repository media API stored XSS -
CVE-2026-89182
Gitea push-to-create bypass of FORCE_PRIVATE policy -
CVE-2026-105268
Gitea issue attachment API allows changing comment attachmen -
CVE-2026-105267
Gitea tag delete route deletes releases without release perm
V. Comments for CVE-2026-97208
暂无评论