Gitea, популярный сервис Git с открытым исходным кодом и возможностью самостоятельного размещения, выпустил версию 28.2 — второе техническое обновление в серии 28.x*, в котором устранены многочисленные уязвимости в системе безопасности и исправлены ошибки, связанные с Actions, PR, аутентификацией и управлением пакетами.
Разработчики обнаружили 12 уязвимостей, девять из которых были устранены в версии 28.2. Остальные три были устранены в более ранних версиях, но теперь о них стало известно.
Среди наиболее серьезных проблем — CVE-2026-109553, уязвимость в аутентификации по протоколу SSH, связанная с некорректной проверкой субъектов сертификатов. При определенных конфигурациях злоумышленник может пройти аутентификацию от имени другого пользователя, воспользовавшись тем, как Gitea сопоставляет субъекты сертификатов с сохраненными открытыми ключами.
Еще одно важное исправление касается CVE-2026-104627, уязвимости OpenID, которая могла позволить злоумышленнику связать свою личность с учетной записью другого пользователя и впоследствии войти в систему под его учетной записью. Теперь при связывании идентификаторов OpenID в Gitea требуется параметр кратковременного состояния, привязанный к аутентифицированному пользователю.
Обновление также устраняет несколько проблем, связанных с раскрытием информации, в том числе CVE-2026-110311, из-за которой злоумышленники могли получить доступ к вложениям из частных репозиториев через функцию черновика релиза. Другие исправления касаются несанкционированного взаимодействия с заблокированными задачами, неправильных разрешений на прикрепление файлов и подделки межсайтовых запросов, влияющих на темы репозитория.
Кроме того, CVE-2026-105964 устраняет уязвимость, приводящую к отказу в обслуживании, в API артефактов Actions версии 4, где запросы без ограничений по размеру могли привести к исчерпанию памяти сервера. Размер тела запроса теперь ограничен 1 МБ.
Что касается функциональности, в Gitea 28.2 внесено несколько улучшений в работу с Actions. Отмененные повторно используемые рабочие процессы больше не остаются в состоянии «отмены» на неопределенный срок. Кроме того, запланированные рабочие процессы теперь корректно отслеживают изменения в ветках по умолчанию, а синтаксический анализ YAML рабочих процессов был исправлен.
Также улучшена обработка пул-реквестов: исправлены случаи, когда пустые пул-реквесты ошибочно помечались как объединенные. Комментарии к ревью теперь отображают правильный контекст кода. Имена файлов, содержащие символы, отличные от ASCII, корректно отображаются в дереве файлов с различиями.
Другие исправления восстанавливают совместимость со старыми URL-адресами архивов пакетов npm, улучшают аутентификацию WebAuthn в клиентах WebKit и предотвращают сбои в работе Gitea из-за определенных ошибок службы уведомлений.
Учитывая количество и характер исправлений, связанных с безопасностью, команда Gitea настоятельно рекомендует выполнить обновление как можно скорее. Подробнее см. в официальном объявлении о выпуске.
