Gitea 28.3 a fost lansat: 20 de corecții de securitate, protecție împotriva preluării conturilor și optimizări de performanță
Platforma open-source de găzduire Git și colaborare în dezvoltare software Gitea a primit versiunea 28.3, a treia actualizare de mentenanță din seria 28.x. Noua ediție reprezintă un update critic pentru administratorii de instanțe self-hosted, remediind 20 de vulnerabilități de securitate, alături de optimizări vizibile de viteză pentru subsistemul Actions, dashboard-uri și gestionarea depozitelor.
Corecții critice de securitate: OAuth2, permisiuni și Gitea Actions
Multe dintre breșele rezolvate implicau aplicarea superficială a restricțiilor pentru token-urile de acces, ceea ce permitea token-urilor cu permisiuni limitate să acceseze date din depozite private sau să execute operațiuni neautorizate.
Printre vulnerabilitățile majore remediate se remarcă:
CVE-2026-120263 (Preluare de cont via OAuth2): Afecta instanțele cu înregistrare publică deschisă și conectare automată a conturilor externe (automatic account linking). În aceste condiții, un atacator putea asocia o identitate externă cu un cont deja existent și se putea autentifica fără a cunoaște parola victimei.
CVE-2026-118386 (Execuție neautorizată în Actions): Viza fluxurile de lucru declanșate de recenziile pull request-urilor (pull request reviews). Un utilizator cu drepturi simple de citire putea forța execuția automată a unui workflow fără aprobare, obținând acces la secretele depozitului și la un token cu permisiuni de scriere. Gitea 28.3 schimbă mecanismul prin care este selectat commit-ul de execuție pentru aceste sarcini.
Alte remedieri de securitate: Blocarea accesului neautorizat la depozite private prin endpoint-uri API, prevenirea expunerii issue-urilor și pull request-urilor private, remedierea gestionării defectuoase a token-urilor de înregistrare pentru runnerii de organizație și eliminarea unei vulnerabilități de tip Stored XSS legate de artefactele mai vechi din Actions.
Optimizări de performanță și scalabilitate
Pe lângă componenta de securitate, Gitea 28.3 aduce îmbunătățiri de răspuns la nivelul interfeței și al bazei de date:
Timp de încărcare redus: Tablourile de bord (dashboards) și listele de issue-uri și pull request-uri se afișează considerabil mai rapid.
Procesarea stării commit-urilor: A fost optimizată pentru a elimina reîncărcarea repetitivă și inutilă a aceluiași depozit în memorie.
Subsistemul Actions: Beneficiază de verificarea în cache a token-urilor de runner, reducerea încărcării pe baza de date SQLite la accesarea cozilor de execuție și blocarea runnerilor de la preluarea sarcinilor din depozitele unde funcția Actions este explicit dezactivată.
Administrarea depozitelor și unelte de migrare
Actualizarea aduce și corecții funcționale importante pentru utilizarea zilnică:
Statistici contribuitori: Procesul de generare a statisticilor despre contribuitori nu se mai blochează în execuție.
Diff-uri și fișiere redenumite: Vizualizatorul de diferențe afișează corect ambele versiuni ale fișierelor atunci când sunt implicate redenumiri.
Suport
.editorconfig: Editorul și vizualizatorul web respectă setările din fișierul.editorconfigcorespunzătoare branch-ului sau commit-ului selectat.Migrări fiabile: A fost introdusă paginarea bazată pe cursor pentru migrarea issue-urilor de pe GitHub și a fost restaurată compatibilitatea completă cu platforma OneDev 16.8 și versiunile ulterioare.
Sursa articolului:
Comentarii
Trimiteți un comentariu