Gitea 28.2.0 закрыла уязвимости SSH и OpenID — защита аккаунтов и репозиториев

В Gitea 28.2.0, выпущенной 18 октября 2026 года, исправлены девять уязвимостей, включая ошибки, позволявшие при определённых условиях выдавать себя за другого пользователя через SSH-сертификат или привязывать постороннюю OpenID-учётную запись. Разработчики одновременно устранили проблемы с доступом к вложениям, расходом памяти в Actions и интеграциями Git-сервера. В официальном объявлении перечислены 12 CVE: три из них были исправлены ещё в предыдущих версиях и раскрыты теперь.

Ошибка проверки SSH-сертификатов затрагивала серверы с доверенным центром сертификации

Уязвимость CVE-2026-109553 касалась проверки пользовательских SSH-сертификатов. Gitea искала указанный в сертификате идентификатор (principal) среди всех сохранённых публичных ключей, хотя проверка должна была ограничиваться ключами соответствующего типа. При совпадении с ключом другого пользователя система могла принять подключение от имени владельца этого ключа.

Для такого сценария требовалась особая конфигурация: сервер доверял пользовательскому центру сертификации SSH, а настройка допускала произвольные идентификаторы в сертификатах либо злоумышленник мог получить сертификат, подписанный доверенным центром. Поэтому сама по себе установка Gitea с обычными SSH-ключами ещё не означала возможность подобной атаки.

Последствия для затронутых серверов выходили за пределы входа в Git по SSH: в описании уязвимости указана и аутентификация API с правами чужой учётной записи. Исправление ограничило поиск ключами идентификаторов SSH-сертификатов. Разработчики присвоили проблеме высокий уровень опасности — 7,5 балла по CVSS 3.

OpenID позволял привязать внешнюю учётную запись без запроса владельца

CVE-2026-104627 затрагивала связывание учётной записи Gitea с внешним поставщиком OpenID 2.0. Обработчик ответа от поставщика не проверял, начинал ли текущий пользователь процедуру привязки. Из-за этого злоумышленник при определённом сценарии мог присоединить контролируемый им OpenID-идентификатор к чужому аккаунту, а затем войти через него.

Проблема затрагивала именно механизм OpenID 2.0 и его процедуру привязки. В Gitea 28.2.0 обработчик требует короткоживущий параметр state, связанный с пользователем, который запустил операцию. Так сервер проверяет, что ответ относится к действительно начатой процедуре. Для этой уязвимости опубликована оценка 8,1 балла CVSS 3.

Утечки сведений о вложениях и сбой Actions получили отдельные исправления

Две ошибки касались вложений репозиториев. При CVE-2026-110311 создание черновика релиза могло вернуть сведения о вложениях со всего экземпляра Gitea, в том числе из чужих закрытых репозиториев. При CVE-2026-110494 пользователь с правом редактировать релизы мог повторно использовать вложение, связанное с задачей или комментарием, раскрыть его метаданные и затем переименовать либо удалить файл.

В механизме автоматизации Gitea Actions закрыли CVE-2026-105964. API артефактов версии v4 принимал тело запроса без ограничения размера. Обладатель токена runner мог отправить слишком большой запрос и исчерпать память сервера. Теперь размер тела такого запроса ограничен 1 МиБ. Речь идёт об ограничении входящего запроса к API, а не об объявленном общем лимите на размер всех артефактов.

Остальные исправления безопасности устраняют разные нарушения контроля доступа:

CVE-2026-107686 — веб-интерфейс допускал реакции на закрытые для изменений задачи и комментарии там, где прав уже не хватало; проверки согласовали с API.
CVE-2026-105661 — обращение к адресу списка репозиториев организации с именем обычного пользователя вызывало ошибку сервера; теперь возвращается HTTP 404.
CVE-2026-107618 — отсутствие защиты от межсайтовой подделки запроса позволяло стороннему сайту изменять темы репозитория от имени администратора при выполнении условий атаки.
CVE-2026-97204 — совпадение числовых идентификаторов репозитория и организации могло привести к удалению меток организации пользователем с правом записи в репозиторий.

Не все 12 CVE были исправлены именно в Gitea 28.2.0

Официальный список содержит девять исправлений для 28.2.0 и три раскрытия уже устранённых уязвимостей. Для понимания защищённости установленной версии даты исправления имеют значение.

Уязвимость	Что затрагивала	Где уже была исправлена
CVE-2026-110324	Доступ к сведениям закрытого профиля через POST-запрос	28.1.0
CVE-2026-109844	Метаданные приватных репозиториев в подписках после потери доступа	28.0.0 и 1.27.0
CVE-2026-97859	Отсутствие проверки видимости пользователя в семи маршрутах API	28.0.0 и 1.27.3

Так, владелец Gitea 28.1.0 уже имеет исправление CVE-2026-110324, но остаётся затронут новыми проблемами SSH и OpenID, устранёнными в 28.2.0. Разделение по версиям помогает понять, к какой именно установленной сборке относится описание уязвимости.

Исправлены уведомления Telegram, вход из VS Code и ошибки автоматизации

В выпуск вошли изменения, которые заметны в повседневной командной работе. При отправке уведомлений из Gitea в Telegram сообщения о задачах, запросах на слияние и коммитах могли терять переносы строк. Причина заключалась в обработке многострочного текста после перехода интеграции на форматированные сообщения Telegram Bot API. Разработчики восстановили переносы, преобразуя их в HTML-разрывы строк после очистки содержимого. Сообщения вновь сохраняют структуру списков и комментариев.

Отдельное исправление касается расширения Gitea для Visual Studio Code. Раньше оно использовало OAuth2-приложение командного клиента tea. Если пользователь уже входил через CLI с другим набором разрешений, попытка входа в расширении могла завершиться ошибкой a grant exists with different scope. В Gitea 28.2.0 предварительно зарегистрировано отдельное приложение gitea-vscode. Оно включено по умолчанию, хотя в установках с явно заданным списком [oauth2].DEFAULT_APPLICATIONS может потребоваться добавить его в конфигурацию.

Изменена и отправка писем: при настройке «только при упоминании» пользователь теперь может получать уведомления о выбранных событиях из индивидуально настроенного наблюдения за репозиторием. Исправление не распространяет это исключение на режим наблюдения за всеми событиями, который Gitea способна назначать автоматически.

Для Gitea Actions разработчики устранили зависание отменённых повторно используемых workflow в состоянии cancelling и ошибки обработки расписаний при смене основной ветки. Среди других исправлений — некорректная SSH-ссылка для go get и проблема запуска плановых задач, приводившая к HTTP 500 в Gitea 28.1.0.

Переход на ветку Gitea 28 и совместимость установленных серверов

Серия 28.x началась 30 сентября 2026 года: проект убрал исторический префикс 1. из номеров версий. Поэтому Gitea 28.2.0 относится к той же основной серии, что и 28.0.0, а номер не обозначает скачок через десятки поколений программы.

По официальному руководству обновления перед заменой серверной сборки сохраняют резервные копии базы данных, конфигурации, файлов Gitea и внешнего хранилища, если оно используется. Документация отдельно предупреждает о миграциях базы данных при переходе между разными ветками и о возможной несовместимости пользовательских шаблонов. Для Docker-установок и серверов с отдельным исполняемым файлом предусмотрены разные процедуры обновления.

Gitea 28.2.0 объединяет исправления доступа и повседневной работы с Git

Релиз от 18 октября объединяет защиту от подмены пользователя, устранение ошибок доступа к данным репозиториев и исправления интеграций. Наибольшее значение условия эксплуатации имеют для SSH-сертификатов и OpenID: там риск зависит от настроенного способа аутентификации. Для команды, использующей Gitea Actions, VS Code и уведомления в Telegram, изменения затрагивают автоматизацию и привычные рабочие процессы. Публичное объявление описывает устранённые ошибки и затронутые механизмы, но не приводит статистики случаев их эксплуатации.