Gitea, сервис Git с самостоятельным размещением и платформа для разработки программного обеспечения, выпустила версию 28.3, третье техническое обновление в серии 28.x*, устраняющее множество уязвимостей в системе безопасности.
Многие из них связаны со слабым контролем разрешений токенов доступа, что потенциально позволяет токенам с ограниченным доступом получать информацию о частных репозиториях или выполнять операции, выходящие за рамки их полномочий.
Среди наиболее серьезных исправлений — CVE-2026-120263, уязвимость, связанная с перехватом учетной записи OAuth2, которая затрагивает установки с автоматической привязкой учетных записей и открытой регистрацией. В таких условиях злоумышленник может привязать внешний идентификатор к существующей учетной записи и войти в нее без пароля.
Еще одна серьезная проблема, CVE-2026-118386, связана с рабочими процессами Actions, запускаемыми при проверке пул-реквестов. Пользователь с доступом на чтение мог запускать рабочие процессы без подтверждения, получая доступ к секретам репозитория и токену с правами на запись. Обновление меняет способ выбора коммита, с которого запускается рабочий процесс.
Дополнительные исправления в системе безопасности устраняют проблемы с несанкционированным доступом к частным репозиториям через конечные точки API, раскрытием информации о частных проблемах и запросах на слияние, некорректной обработкой регистрационных токенов для запуска организации, а также уязвимостью межсайтового скриптинга, связанной с устаревшими артефактами Actions.
Помимо исправлений в системе безопасности, в Gitea 28.3 реализовано несколько улучшений производительности. Панели управления проблемами и запросами на слияние теперь загружаются быстрее, как и списки проблем и запросов на слияние в репозиториях. Обработка статуса коммитов также оптимизирована, чтобы избежать повторной загрузки одного и того же репозитория.
Подсистема Actions получила ряд улучшений, в том числе проверку кэшированных токенов, снижение нагрузки на SQLite при доступе к очередям заданий и исправление, позволяющее исполнителям получать задания из репозиториев, в которых отключена функция Actions.
Управление репозиториями также претерпело ряд изменений. Статистика участников больше не зависает при формировании, при сравнении файлов с переименованными именами теперь корректно отображаются обе версии файла, а средство просмотра и редактор файлов учитывают конфигурацию .editorconfig для выбранной ссылки Git.
Наконец, повышена надежность миграции за счет постраничной навигации по курсору при миграции задач GitHub и восстановлена совместимость с OneDev 16.8 и более новыми версиями.
Подробнее читайте в официальном объявлении о выпуске.
