Gitea 28.3.0 修正存取權限、Actions 及帳號連結處理

主要來源公告：2026-11-01

本站刊登：2026-11-01 · 內容更新：2026-11-01（香港日期）

情報摘要

Gitea 於2026年11月1日發布28.3.0正式版本。官方版本紀錄列出 public-only token 範圍、存取權限檢查、Actions 工作流程及外部身分帳號連結等修正。自架服務管理員宜檢查部署版本並安排更新；本文不把所有較早版本一概列為受每項問題影響。

官方版本紀錄包括在更多路徑套用public-only token限制、補充存取檢查及大小限制，以及隱藏讀者沒有權限查看的連結pull request。

Actions相關修正包括將review觸發的工作流程改在pull request head執行，以及捨棄舊版artifact上傳中不可信的Content-Encoding。帳號連結修正則限制自動連結至外部身分所指向的帳號。

Gitea；28.3.0包含本文概述的修正，各問題的完整受影響版本範圍未逐項核實。

自架Gitea服務、使用Actions及外部身分登入的開發平台管理員。

建議管理員按自身安裝方式評估更新至28.3.0，先備份及測試相容性，並檢查Actions、權限與外部身分登入流程。這是編輯提出的防禦建議；本文沒有核實各問題的最低受影響版本或替代緩解方案。

高為編輯風險判斷：官方版本紀錄涉及權限界線、存取檢查及工作流程處理等修正；不是廠商整體評級或逐項核實的CVSS分數。

本文依據官方GitHub版本紀錄；官方部落格未能完整讀取，因此逐項CVE對應、利用描述及升級引文不在本文核實範圍。

正式版本發布日期不是漏洞發現日期；各問題的引入版本、完整受影響範圍及個別CVSS尚未逐項核實。

本次核對未確立野外利用或香港機構受影響；不能由修正紀錄推定已發生入侵。