CVE-2026-116296: Gitea bypass protezione repository archiviati

La vulnerabilità CVE-2026-116296 riguarda Gitea e interessa le API per gestire release, asset di rilascio, milestone e label. Il difetto consente a utenti con accesso di scrittura a repository archiviati (o con token di scrittura) di modificare o eliminare release asset, cancellare release e tag, creare/modificare/eliminare milestone e label anche quando il repository dovrebbe essere in sola lettura. La falla compromette il controllo di accesso su risorse che dovrebbero essere immutabili in repository archiviati.

Il punteggio CVSS non è stato ancora pubblicato da NVD. La vulnerabilità è stata resa pubblica il 1° novembre 2026, contemporaneamente alla disclosure coordinata. Segnali pubblici su GitHub confermano l'esistenza di descrizioni che associano il CVE al bypass di protezione su repository Gitea. Il difetto rappresenta un bypass diretto dei controlli di autorizzazione su operazioni che dovrebbero essere negate per repository nello stato di archiviazione.

I responsabili IT devono aggiornare Gitea immediatamente. Secondo la descrizione ufficiale, la correzione cambia i dati di risposta delle API interessate per restituire codice 423 Locked su repository archiviati, bloccando efficacemente le modifiche. Verificate quale versione di Gitea è in uso e consultate i release notes del progetto per identificare l'aggiornamento che include la correzione. In ambienti con repository critici archiviati, prioritizzate questo aggiornamento nella coda di patch.