CVE-2026-20888Gitea是一个开源的自助Git服务托管平台。该漏洞源于Gitea在处理通过Web界面取消预定自动合并操作时，未能正确验证用户授权。攻击者只需拥有对Pull Request的读取权限，即可取消由其他用户预定的自动合并操作。这一授权验证缺陷使得低权限用户能够影响高权限用户的合并决策，可能导致开发流程混乱或恶意取消合法的合并操作。CVSS评分为4.3，属于中等严重程度，主要影响系统的完整性和访问控制机制。
该漏洞属于IDOR（Insecure Direct Object Reference，不安全直接对象引用）类型。在Gitea的自动合并功能中，用户可以为Pull Request设置定时自动合并操作。问题出在取消这些预定合并的接口上，系统仅验证用户是否为Pull Request的参与者或拥有读权限，但未验证取消操作发起者是否为合并预定的创建者。攻击者可以通过构造特定请求，指定目标Pull Request的标识符，利用此授权缺陷取消他人的自动合并计划。攻击者需要知道目标仓库和Pull Request的编号，无需特殊权限即可执行此操作。