Forgejo – Fehlende Objektberechtigungsprüfung ermöglicht unbefugten Zugriff

Beschreibung

In Forgejo vor Version 1.20.5-1 prüfen bestimmte Endpunkte nicht, ob ein Objekt zu dem Repository gehört, für das die Berechtigungen geprüft werden. Dadurch können entfernte Angreifer private Issues und Pull Requests lesen, Issues löschen und weitere unbefugte Aktionen ausführen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Forgejo 1.20.5-1 oder neuer aktualisieren.

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Gitea / Forgejo

• Gitea Code Injection Vulnerability KEV CVE-2026-60004
• Gitea: Unzureichende Prüfung der Projekteigentümerschaft bei Organisationsprojekten CVE-2026-20750
• Gitea – Fehlende Eigentumsprüfung beim Löschen von Git-LFS-Locks CVE-2026-20897
• Gitea: Fehlerhafte Prüfung der Repository-Eigentümerschaft bei Anhängen CVE-2026-20912
• Gitea erlaubt Anhänge mit verbotenen Dateiendungen CVE-2025-68939
• Gitea: SSRF-Schutzumgehung bei HTTP-Fetch-Operationen CVE-2026-34966