‏Gitea 1.27.1 اومد؛ دو حفرهٔ امنیتی بسته شد

تیم Gitea نسخهٔ ۱.۲۷.۱ رو به‌عنوان اولین وصلهٔ سری ۱.۲۷ منتشر کرده. تو اعلامیهٔ انتشار اومده که این نسخه ترکیبیه از رفع مشکلات امنیتی و یک دستهٔ بزرگ رفع باگ، مخصوصاً برای Gitea Actions؛ و تیم توسعه تأکید کرده همهٔ کاربرها هرچه زودتر آپدیت کنن.

مهم‌ترین بخش، دو تا آسیب‌پذیریه. اولی با شناسهٔ CVE-2026-59774 از مسیر رندر فایل‌های Org-mode و دستور #+INCLUDE می‌اومد و به یک مهاجم بدون احراز هویت اجازه می‌داد فایل‌های دلخواه سرور رو بخونه. دومی، CVE-2026-60004، جدی‌تره: از مسیر API مربوط به دیف‌پچ می‌شد هوک‌های Git رو نصب کرد و کار به اجرای کد از راه دور روی سرور می‌رسید. هر دو با پچ اختصاصی بسته شدن.

بخش عمدهٔ رفع باگ‌ها سمت Gitea Actions بوده. حالا اجراهای pull_request_target کانتکست‌شون رو از رف برنچ پایه می‌سازن نه از هد فورک — که یک نکتهٔ امنیتی شناخته‌شده تو CI هم هست. جاب‌هایی که بعد از ری‌استارت سرور تو حالت cancelling گیر می‌کردن، حالا به‌محض اینکه رانر گزارش نده بلافاصله کنسل می‌شن. بلاک‌های چندخطی run: هم دیگه موقع سریالایز شدن خراب نمی‌شن؛ قبلاً همین باعث می‌شد جاب بدون هیچ خطای قابل دیدنی سرگردون بمونه.

بیرون از Actions هم چند چیز درست شده: کلون روی HTTP با ریدایرکت دوباره کار می‌کنه، چون محدودیتی که تو ۱.۲۷.۰ اضافه شده بود برگردونده شد و رفتار نسخهٔ ۱.۲۶ برگشت. سیاست اجباری ورود دومرحله‌ای حالا روی اندپوینت‌های authorize و grant در OAuth2 هم اعمال می‌شه، پاک کردن مخزن یا کاربر ردیف‌های یتیم‌مونده تو چند جدول رو هم تمیز می‌کنه، و اگه تمدید گواهی ACME موقع بالا اومدن شکست بخوره Gitea به‌جای بالا نیومدن همون گواهی معتبر قبلی رو سرو می‌کنه.

نکات کلیدی:

• دو آسیب‌پذیری وصله شده: خوندن فایل بدون احراز هویت (CVE-2026-59774) و اجرای کد از راه دور (CVE-2026-60004)
• تیم توسعه آپدیت فوری رو توصیه کرده
• ۴۸ پول‌ریکوئست مرج شده که تمرکز اصلی‌شون روی Gitea Actions بوده
• سیاست اجباری 2FA حالا روی اندپوینت‌های OAuth2 هم اعمال می‌شه
• کلون HTTP با ریدایرکت و سرو شدن گواهی ACME موقع خطای تمدید هم درست شده