本文使用的 Docker 镜像
发布日期： 2026 年 11 月 6 日
风险等级： 高危（High）起
漏洞编号： CVE-2026-117685 · CVE-2026-120263 · CVE-2026-118386 · CVE-2026-113429 · CVE-2026-116296
涉及镜像： gitea/gitea — 轩辕镜像 · Docker Hub
CVSS： 本批为 High（GHSA 口径；CVE-2026-117685 部分第三方记 Critical 9.1；CVE-2026-113429 为 High 8.7）
披露时间： Gitea 28.3.0 于 2026 年 11 月 1 日发布；本档为漏报补报
相关公告： Gitea 28.3.0 · GHSA-8g99-g36h-5p2w
一、漏洞概述
| 编号 | 要点 | 备注 |
|---|---|---|
| CVE-2026-117685 | OCI 跨仓 blob mount 对源 blob 未按 public-only token 鉴权，可将私有容器层挂到公开包并被下载 | GHSA High；部分第三方记 Critical 9.1 |
| CVE-2026-120263 | 非默认 ACCOUNT_LINKING=auto + 开放注册时，OAuth 绑定表单可把外部身份绑到任意已有账号并接管会话 | |
| CVE-2026-118386 | 仅读用户可在同仓 PR review 中用自有 commit_id 让 Actions 无审批拿到 secrets 与可写 token | |
| CVE-2026-113429 | Actions v3 artifact 把 Content-Encoding 当 Content-Type 回传 → 同源 Stored XSS | High 8.7 |
| CVE-2026-116296 | 写协作者仍可通过 API 改已归档仓库的 release / milestone / label |
对应 GHSA：GHSA-8g99-g36h-5p2w / 8p3x-w464-4g6v / 32h8-5xqg-h466 / 9v6p-xpcp-7488 / 6h2f-c8jm-84hc。
二、漏洞状态
统计截止： 2026 年 11 月 6 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（Gitea 发行说明、GHSA） |
| 官方补丁 | ≥ 28.3.0 |
| 镜像标签 | Hub 已有 28.3.0、28.3.0-rootless（以及 28.3 系列） |
| CISA KEV | 未列入 |
三、影响范围
公网或内网自托管 Gitea，尤其启用 Packages（OCI）与 Actions 者。ACCOUNT_LINKING=auto 非默认，仅在该配置与开放注册同时存在时放大 OAuth 绑定风险。
四、修复建议
升到 ≥ 28.3.0。rootless 部署固定 28.3.0-rootless。不要把 latest 写进长期配置。
bashdocker pull docker.xuanyuan.run/gitea/gitea:28.3.0
bashdocker pull docker.xuanyuan.run/gitea/gitea:28.3.0-rootless
Docker Hub： gitea/gitea
轩辕镜像： gitea/gitea
五、临时缓解措施
在升级之前：收紧 Packages / Actions 对外暴露；确认未开启 ACCOUNT_LINKING=auto 与开放注册的危险组合；审查写协作者对已归档仓的 API 权限。这不能代替 28.3.0。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Gitea 的版本修复。请固定 28.3.0（或 28.3.0-rootless）。基于更旧标签二次构建的，要改基础标签后重新构建。
七、参考链接
- Gitea：28.3.0 发布说明
- GitHub：GHSA-8g99-g36h-5p2w
- Docker Hub：gitea/gitea
- 轩辕站内镜像页：gitea/gitea
阅读原文
轩辕镜像安全团队
2026 年 11 月 6 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。