A népszerű, nyílt forráskódú, saját üzemeltetésű Git szolgáltatás, a Gitea kiadta a 28.2-es verziót. Ez a 28.x sorozat második karbantartási kiadása, amely több biztonsági sebezhetőséget és hibát javít az Actions, a pull requestek, a hitelesítés és a csomagkezelés területén.

A fejlesztők összesen 12 sebezhetőséget hoztak nyilvánosságra, ezek közül kilencet a 28.2-es verzióban javítottak. A maradék hármat korábbi kiadásokban már orvosolták, most viszont nyilvánosan is ismertették.

A legsúlyosabb problémák egyike a CVE-2026-109553, egy SSH-hitelesítési hiba, amelyet a tanúsítványban szereplő principal értékek hibás ellenőrzése okozott. Bizonyos konfigurációk mellett a támadó más felhasználóként tudott bejelentkezni, ha kihasználta, ahogyan a Gitea a tanúsítvány principal értékeit az eltárolt nyilvános kulcsokkal összevetette.

Egy másik fontos javítás a CVE-2026-104627-et érinti, egy OpenID sebezhetőséget. Ez lehetővé tette, hogy a támadó a saját identitását egy másik felhasználó fiókjához kapcsolja, majd az ő nevében jelentkezzen be. A Gitea mostantól rövid élettartamú, az éppen hitelesített felhasználóhoz kötött state paramétert követel meg, amikor OpenID identitásokat kapcsolnak fiókokhoz.

A frissítés több információszivárgási hibát is javít, köztük a CVE-2026-110311-et, amely a draft release funkción keresztül privát tárolók mellékleteit tehette elérhetővé. Más javítócsomagok a zárolt problémákkal való jogosulatlan interakciókat, a mellékletek hibás jogosultságkezelését, valamint a tároló témáit érintő cross-site request forgery támadásokat kezelik.

Ezen felül a CVE-2026-105964 egy szolgáltatásmegtagadási sebezhetőséget javít az Actions artifact v4 API-ban, ahol a méretkorlát nélküli kérések kimeríthették a szerver memóriáját. Mostantól a kérés törzsét 1 MiB méretre korlátozzák.

Funkcionális oldalon a Gitea 28.2 több fejlesztést hoz az Actions számára. A megszakított, újrahasznosítható workflow-k már nem ragadnak tartósan „canceling” állapotban. A menetrend szerint futó workflow-k mostantól helyesen követik az alapértelmezett ág változásait, és kijavították a workflow YAML feldolgozását is.

A pull requestek kezelése is fejlődött: javították azt a hibát, amikor üres PR-eket tévesen egyesítettnek jelöltek. A review megjegyzések mostantól a megfelelő kódkörnyezetet mutatják. A nem ASCII karaktereket tartalmazó fájlnevek helyesen jelennek meg a diff fájlfában.

További javítások visszaállítják a kompatibilitást a régebbi npm csomag tarball URL-ekkel, fejlesztik a WebAuthn hitelesítést WebKit kliensekkel, és megakadályozzák, hogy bizonyos értesítési szolgáltatási hibák összeomlasszák a Gitea-t.

A biztonsági javítások száma és jellege miatt a Gitea csapat határozottan javasolja, hogy mielőbb elvégezd a verziófrissítést. További részletekért nézd meg a hivatalos kiadási bejelentést.