Gitea يصدر الإصدار 28.3.0 لمعالجة ثغرة استيلاء على الحسابات
الثغرة CVE-2026-120263 تتيح ربط حساب خارجي بحساب Gitea قائم دون معرفة كلمة المرور، وقد اكتشفها نموذج Claude من Anthropic.
أصدرت منصة Gitea لإدارة مستودعات الشيفرة مفتوحة المصدر الإصدار 28.3.0 في 1 نوفمبر 2026، وعالجت فيه عدداً من المشكلات الأمنية بينها الثغرة CVE-2026-120263، ودعت المستخدمين إلى التحديث في أقرب وقت، حسب dailysecu.com.
وتكمن خطورة CVE-2026-120263 في أنها ثغرة استيلاء على الحساب ضمن عملية ربط حسابات OAuth2، إذ تتيح للمهاجم ربط حساب تسجيل دخول خارجي بحساب Gitea موجود مسبقاً من دون معرفة كلمة مرور الضحية.
وتؤثر الثغرة في المنشآت التي يكون فيها الإعداد ACCOUNT_LINKING = auto مفعّلاً وتكون فيها عملية تسجيل المستخدمين الجدد مسموحة، في حين أن الإعداد الافتراضي يتحقق من كلمة مرور الحساب القائم.
ووفقاً للاستشارة الأمنية الرسمية، اكتشف الثغرة نموذج الذكاء الاصطناعي Claude من شركة Anthropic، وتحقق منها باحثو Doyensec بالتعاون مع Anthropic Research.
ثغرتان إضافيتان في Gitea Actions والرموز المميزة
وعالج الإصدار أيضاً الثغرة CVE-2026-113429، وهي ثغرة XSS مخزّنة في تنزيل المخرجات من Gitea Actions تتيح تشغيل شيفرة برمجية خبيثة ضمن سياق Gitea الأمني.
كما تعالج الثغرة CVE-2026-112887 المشكلة التي تسمح فيها الرموز المميزة الصادرة لمهام الأتمتة بسرد مستودعات خاصة أخرى على الخادم، بما يكشف وجودها ومعلومات مرتبطة بها من دون الوصول إلى محتويات الملفات.
أسئلة سريعة
ما الذي عالجه إصدار Gitea 28.3.0؟
عالج ثغرة الاستيلاء على الحساب CVE-2026-120263 في ربط حسابات OAuth2، وثغرة XSS مخزّنة في Gitea Actions تحمل الرقم CVE-2026-113429، وثغرة في الرموز المميزة لمهام الأتمتة تحمل الرقم CVE-2026-112887.
من اكتشف ثغرة CVE-2026-120263؟
اكتشفها نموذج الذكاء الاصطناعي Claude من Anthropic، وتحقّق منها باحثو Doyensec بالتعاون مع Anthropic Research، وفق الاستشارة الرسمية.
هل تتأثر كل منشآت Gitea بالثغرة؟
تتأثر المنشآت التي يكون فيها الإعداد ACCOUNT_LINKING = auto مفعّلاً وتكون فيها عملية تسجيل المستخدمين الجدد مسموحة؛ أما الإعداد الافتراضي فيتحقق من كلمة مرور الحساب القائم.