What is CVE-2026-34966?
CVE-2026-34966 is a server-side request forgery (SSRF) vulnerability in Gitea versions before 1.27.0 that allows authenticated attackers to bypass SSRF protections. This is caused by HTTP fetch operations in migration and OAuth avatar code paths using Go's default http.Get without a custom DialContext. Users should immediately upgrade to Gitea 1.27.0 or later.
Azərbaycanca: CVE-2026-34966 Gitea 1.27.0-dən əvvəlki versiyalarda autentifikasiya olunmuş hücumçulara SSRF müdafiələrini keçməyə imkan verən server tərəfli sorğu saxtakarlığı zəifliyidir. Bu, xüsusilə miqrasiya və OAuth avatar funksiyalarında Go-nun standart http.Get istifadəsinin düzgün konfiqurasiya edilməməsi səbəbindən baş verir. İstifadəçilərə dərhal Gitea-nı 1.27.0 və ya daha yuxarı versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-918
FAQ2
Which Gitea versions are affected by CVE-2026-34966?
CVE-2026-34966 affects Gitea versions before 1.27.0.
What is the root cause of CVE-2026-34966?
The vulnerability is caused by HTTP fetch operations in migration and OAuth avatar code paths using Go's default http.Get without a custom DialContext.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.