漏洞概述 在gitea v1.26.2版本中，存在多个安全漏洞，主要涉及权限管理、API查询、附件下载、LFS token访问、PKCE验证、token刷新、内容安全策略等方面。 影响范围 权限管理：读取权限、附件下载权限、LFS token访问权限等。 API查询：API查询和仓库访问检查。 PKCE验证：PKCE验证和token刷新保护。 内容安全策略：附件Content-Security-Policy。 修复方案 1. 权限管理 - 修复读取权限（#37769） - 修复附件下载权限（#37698） - 修复LFS token访问权限（#37695） 2. API查询 - 统一API查询和仓库访问检查（#37118） 3. PKCE验证 - 加强PKCE验证和token刷新保护（#37706） 4. 内容安全策略 - 修复附件Content-Security-Policy（#37464） 5. 其他修复 - 修复基本auth bug（#37503） - 修复URL sanitization以处理无模式凭证（#37440, #37471） - 修复attachment Content-Security-Policy（#37464） POC代码或利用代码 页面中未提供具体的POC代码或利用代码。 总结 gitea v1.26.2版本中存在多个安全漏洞，主要涉及权限管理、API查询、PKCE验证、内容安全策略等方面。修复方案包括修复读取权限、附件下载权限、LFS token访问权限、统一API查询和仓库访问检查、加强PKCE验证和token刷新保护、修复附件Content-Security-Policy等。