A Gitea, a saját szerveren futtatható Git szolgáltatás és szoftverfejlesztő platform kiadta a 28.3-as verziót. Ez a 28.x sorozat harmadik karbantartási kiadása, amely számos biztonsági sebezhetőséget orvosol.

Ezek közül több a hozzáférési tokenek jogosultságainak gyenge érvényesítésével kapcsolatos. Emiatt előfordulhatott, hogy korlátozott tokenek is hozzáfértek privát tárolók adataihoz, vagy a jogosultsági körükön túlmutató műveleteket hajtottak végre.

A súlyosabb javítások közé tartozik a CVE-2026-120263, egy OAuth2-alapú fiókátvételi sebezhetőség, amely az automatikus fiókösszekapcsolást és nyitott regisztrációt használó telepítéseket érinti. Ilyen beállítások mellett egy támadó külső identitást kapcsolhatott egy meglévő fiókhoz, és jelszó nélkül bejelentkezhetett.

Szintén kiemelt probléma a CVE-2026-118386, amely a pull request értékelések által indított Actions workflow-kat érinti. Egy, csak olvasási jogosultsággal rendelkező felhasználó jóváhagyás nélkül is végrehajttathatta a workflow-kat, így hozzáférhetett a tároló titkaihoz és egy írási jogosultságú tokenhez. A frissítés módosítja, hogyan választják ki ezek a workflow-k azt a commitot, amelyről futnak.

További biztonsági javítások foglalkoznak a privát tárolókhoz való jogosulatlan API-hozzáféréssel, privát problémák és pull requestek kiszivárgásával, a szervezethez tartozó runner-regisztrációs tokenek hibás kezelésével, valamint egy tárolt cross-site scripting sebezhetőséggel, amely a régi Actions-artifactokat érinti.

A biztonsági javításokon túl a Gitea 28.3 több teljesítmény-fejlesztést is hoz. Gyorsabban töltődnek be a problémákat és pull requesteket listázó áttekintő oldalak, valamint a tárolókhoz tartozó probléma- és pull request-listák. A commit státuszok feldolgozását is optimalizálták, hogy ne kelljen ugyanazt a tárolót újra és újra betölteni.

Az Actions alrendszer további fejlesztéseket kapott: gyorsítótárazott runner-token ellenőrzés, kisebb SQLite-terhelés a feladat-sorok elérésekor, valamint egy javítás, amely megakadályozza, hogy a runnerek olyan tárolókból vegyenek fel feladatokat, ahol az Actions le van tiltva.

A tárolókezelés is több korrekcióval gazdagodott. A közreműködői statisztikák generálása már nem akad el, az áttekintőkben a átnevezett fájlokat érintő diffek mindkét fájlverziót helyesen betöltik, a fájlmegjelenítő és -szerkesztő pedig figyelembe veszi a .editorconfig konfigurációt a kiválasztott Git referencia esetén.

A migrációk megbízhatósága is javult: kurzor-alapú lapozást vezettek be a GitHub problémák migrációjához, és visszaállították a kompatibilitást a OneDev 16.8-as és újabb verzióival.

További részletek az hivatalos kiadási bejelentésben olvashatók.