CVE-2026-0798
Gitea存在一个访问控制漏洞，当仓库从公开状态转变为私有时，系统未能正确撤销之前关注该仓库用户的通知权限。这导致已失去访问权限的用户仍能通过邮件收到私有仓库的发布通知，包括发布标题、标签和内容等敏感信息。
该漏洞源于Gitea的通知系统未与权限变更同步。当仓库可见性改变时，发布通知功能仍向原有的关注者列表发送邮件，即使这些用户已不再拥有仓库访问权限。攻击者可通过监控这些通知来获取私有仓库的发布信息。