Gitea 1.25.5 发布
· 阅读需 9 分钟
我们很高兴地宣布 Gitea 1.25.5 正式发布！我们强烈建议所有用户升级到此版本，因为它包含了重要的安全修复、大量错误修复以及整体稳定性改进。
- CVE-2026-25779：阻止通过反斜杠编码路径绕过重定向（#36660）（#36716）。感谢 @quirmz 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-27660：修复发布草稿的权限检查问题（#36659）（#36715）。感谢 @anticomputer 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-27657：修复用户可以更改他人主邮箱地址的问题（#36586）（#36607）。感谢 @CsEnox 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-26232：修复 OAuth2 授权码过期及重复使用处理逻辑（#36797）（#36851）。感谢 @sammiee5311 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-22547：为仓库创建字段添加验证约束（#36671）（#36757）。感谢 @brettm220 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-24690：修复更新或变基合并请求分支时的权限检查（#36465）（#36838）。感谢 CodeThreat Security Research Team 和 @Alexander Girgis 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-26292：为推送/同步镜像迁移中的 LFS 添加 HTTP 传输支持（#36665）（#36691）。感谢 @allsmog 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-20909：修复时间追踪列表的权限检查（#36662）（#36744）。
- CVE-2026-25782：修复时间追踪中错误的工单 ID 处理（#36664）（#36689）。感谢 @CsEnox 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-25718：修复路径解析处理（#36734）（#36746）。感谢 @yonatan-pl 报告此问题，感谢 @wxiaoguang 完成修复。
- CVE-2026-28705：修复影响发布附件导出的错误（#36799）（#36839）。感谢 Neodyme AG 的 Robert Flosbach 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-25712：修复组织权限 API 对隐藏成员和私有组织的可见性检查（#36798）（#36841）。感谢 Maximilian Luff (https://github.com/maluff)、Daniel Zahl (https://github.com/Sai2r)、Marcus Gelderie (https://github.com/mgelde) 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-27779：修复公共 URL 检测中转发 proto 的处理（#36810）（#36836）。感谢 fed01k 报告此问题，感谢 @lunny 完成修复。
- CVE-2026-26307：为
git grep搜索添加超时限制（#36809）（#36835）。感谢 uug4na 报告此问题，感谢 @lunny 完成修复。 - CVE-2026-26247：修复 OAuth2 S256 处理（#36462）（#36477）。感谢 Aisle Research 报告此问题，感谢 @lunny 完成修复。
依赖更新
Go 升级至 1.25.8，其中包含安全修复。
此次发布包含 42 个已合并的合并请求，感谢社区成员们的精彩贡献。
如何安装或更新
从 Gitea 下载页面 下载我们预编译的二进制文件 —— 请务必选择与你的平台兼容的版本。如需安装或升级的详细步骤，请参考我们的安装文档。
特别鸣谢
我们也想感谢 Open Collective 上所有支持者，是他们提供了资金支持，帮助我们维持运营。
正在寻找一个无缝、无忧的 Git 仓库管理解决方案吗？ 了解 Gitea Cloud —— 一个完全托管、可扩展的平台，旨在简化你的开发工作流。
以下 Changelog 保留英文原文，未作翻译，请与上游逐字核对。
Changelog
-
SECURITY
- Toolchain Update to Go 1.25.6 (#36480) (#36487)
- Adjust the toolchain version (#36537) (#36542)
- Update toolchain to 1.25.8 for v1.25 (#36888)
- Prevent redirect bypasses via backslash-encoded paths (#36660) (#36716)
- Fix get release draft permission check (#36659) (#36715)
- Fix a bug user could change another user's primary email (#36586) (#36607)
- Fix OAuth2 authorization code expiry and reuse handling (#36797) (#36851)
- Add validation constraints for repository creation fields (#36671) (#36757)
- Fix bug to check whether user can update pull request branch or rebase branch (#36465) (#36838)
- Add migration http transport for push/sync mirror lfs (#36665) (#36691)
- Fix track time list permission check (#36662) (#36744)
- Fix track time issue id (#36664) (#36689)
- Fix path resolving (#36734) (#36746)
- Fix dump release asset bug (#36799) (#36839)
- Fix org permission API visibility checks for hidden members and private orgs (#36798) (#36841)
- Fix forwarded proto handling for public URL detection (#36810) (#36836)
- Add a git grep search timeout (#36809) (#36835)
- Fix oauth2 s256 (#36462) (#36477)
-
ENHANCEMENTS
- Make
security-checkinformational only (#36681) (#36852) - Upgrade to github.com/cloudflare/circl 1.6.3, svgo 4.0.1, markdownlint-cli 0.48.0 (#36840)
- Add some validation on values provided to USER_DISABLED_FEATURES and EXTERNAL_USER_DISABLED_FEATURES (#36688) (#36692)
- Upgrade gogit to 5.16.5 (#36687)
- Add wrap to runner label list (#36565) (#36574)
- Add dnf5 command for Fedora in RPM package instructions (#36527) (#36572)
- Allow scroll propagation outside code editor (#36502) (#36510)
- Make
-
BUGFIXES
- Fix non-admins unable to automerge PRs from forks (#36833) (#36843)
- Fix bug when pushing mirror with wiki (#36795) (#36807)
- Fix artifacts v4 backend upload problems (#36805) (#36834)
- Fix CRAN package version validation to allow more than 4 version components (#36813) (#36821)
- Fix force push time-line commit comments of pull request (#36653) (#36717)
- Fix SVG height calculation in diff viewer (#36748) (#36750)
- Fix push time bug (#36693) (#36713)
- Fix bug the protected branch rule name is conflicted with renamed branch name (#36650) (#36661)
- Fix bug when do LFS GC (#36500) (#36608)
- Fix focus lost bugs in the Monaco editor (#36609)
- Reprocess htmx content after loading more files (#36568) (#36577)
- Fix assignee sidebar links and empty placeholder (#36559) (#36563)
- Fix issues filter dropdown showing empty label scope section (#36535) (#36544)
- Fix various mermaid bugs (#36547) (#36552)
- Fix data race when uploading container blobs concurrently (#36524) (#36526)
- Correct spacing between username and bot label (#36473) (#36484)