CVE-2025-68939Gitea 1.23.0之前版本存在安全漏洞，攻击者可以通过编辑附件名称来添加具有禁止文件扩展名的附件。该漏洞允许绕过系统对上传文件类型的限制，可能导致恶意文件上传，如可执行脚本、webshell等。攻击者利用Gitea的附件API，通过修改附件名称的方式上传禁止的文件类型，从而在服务器上执行任意代码或进行其他恶意操作。此漏洞无需认证即可利用，但需要用户交互。CVSS评分8.2，属于高危漏洞。
漏洞源于Gitea对附件上传时的文件扩展名验证不完整。系统在上传时检查了文件扩展名，但允许通过API编辑附件名称来绕过这一限制。攻击者可以先上传一个允许的文件（如图片），然后修改其名称为包含恶意扩展名（如.php、.jsp等）的文件名，从而在服务器上创建可执行文件。漏洞影响Gitea 1.23.0之前的所有版本，攻击者可以利用此漏洞实现远程代码执行。