Gitea 1.26.2 发布

本文由 AI 翻译，如有歧义请以 英文原文 为准。

我们很高兴宣布 Gitea 1.26.2 版本发布！我们强烈建议所有用户升级到此版本，因为它包含多项安全修复，以及重要的缺陷修复和稳定性改进。

• CVE-2026-27783：修复（权限）：修复读取权限 (#37769) (#37781)。感谢 @hoangperry 报告，感谢 @lunny 修复。
• 修复（Gitea Actions）：使构件签名载荷无歧义 (#37707)。感谢 @lunny 修复。
• CVE-2026-25714：修复：统一 API 查询和仓库访问检查中仅公开令牌的过滤 (#37118)。感谢 Medoedus 报告，感谢 @lunny 修复。
• CVE-2026-20706：修复：添加缺失的令牌作用域检查 (#37735)。感谢 geoo115 报告，感谢 @lunny 修复。
• 修复（OAuth）：将令牌交换绑定到原始客户端请求 (#37704)。感谢 @lunny 修复。
• 修复（OAuth）：加强 PKCE 校验和刷新令牌重放保护 (#37706)。感谢 @lunny 修复。
• 修复（Web）：对原始文件、媒体和附件下载强制执行令牌作用域 (#37698)。感谢 @kamil-sawicki 报告，感谢 @lunny 修复。
• 修复（安全）：在请求时强制执行 Wiki 的 Git 写入和 LFS 令牌访问 (#37695)。感谢 @lunny 修复。
• 功能（API）：加密 AWS 凭证 (#37679)。感谢 @Exgene 报告并修复。
• CVE-2026-27771：修复（软件包）：为私有和内部软件包添加标签，并修复 Composer 软件包源权限检查 (#37610)。感谢 NoScope 报告，感谢 @lunny 修复。
• CVE-2026-28744：修复（Git）：修复智能 HTTP 请求作用域缺陷 (#37583)。感谢 ohxorud-dev 报告，感谢 @lunny 修复。
• CVE-2026-28699：修复基本认证缺陷 (#37503)。感谢 Wesley Colquitt / ByteShyftStudios LLC / @Alardiians 报告，感谢 @lunny 修复。
• CVE-2026-26231：修复允许维护者编辑权限检查的问题 (#37479) (#37484)。感谢 Brutecat Security 的 Arvin Shivram 报告，感谢 @lunny 修复。
• 修复 URL 清理以处理无方案凭据 (#37440) (#37471)。感谢 @bircni 修复。
• 杂项（依赖）：升级 go-git/go-git/v5 到 5.19.0 (#37608)。
• 修复（依赖）：将依赖 mermaid 更新至 v11.15.0 [安全]，并添加端到端测试。

此版本包含 54 个已合并的合并请求，感谢社区精彩的贡献。

如何安装或更新

从 Gitea 下载页面 下载我们预编译的二进制文件 —— 请确保选择与您的平台兼容的版本。有关安装或升级的逐步指南，请参阅我们的安装文档。

特别感谢

我们还要感谢所有在 Open Collective 上支持我们、帮助我们维持财务运转的人们。

---

正在寻找一种无缝、无忧的 Git 仓库管理解决方案？ 了解 Gitea Cloud——一个全托管、可扩展的平台，旨在简化您的开发工作流。

以下 Changelog 保留英文原文，未作翻译，请与上游逐字核对。

Changelog

1.26.2 - 2026-05-20

• SECURITY

  • Actions
    • Make artifact signature payloads unambiguous (#37795)
  • Access
    • Enforce wiki git writes and LFS token access at request time (#37714)
  • API
    • Unify public-only token filtering in API queries and repo access checks (#37773)
    • Encrypt AWS credentials (#37713)
  • Auth
    • Add missed token scope checking (#37757)
    • Fix basic auth bug (#37503)
  • Branch
    • Fix update branch protection order (#37513)
  • Dependencies
    • Update dependency mermaid to v11.15.0 [security] (#37665)
    • Bump go-git/go-git/v5 to 5.19.0 (#37609)
  • Git
    • Fix smart http request scope bug (#37605)
  • OAuth
    • Bind token exchanges to the original client request (#37740)
    • Strengthen PKCE validation and refresh token replay protection (#37738)
  • Packages
    • Add label for private and internal packages and fix composer package source permission check (#37643)
  • Repo
    • Fix allow maintainer edit permission check (#37484)
  • Web
    • Enforce token scopes on raw, media, and attachment downloads (#37733)
    • Fix URL sanitization to handle schemeless credentials (#37471)
    • Fix attachment Content-Security-Policy (#37464)

• BUGFIXES

  • Actions
    • Fix wrong assumption that run id always >= job id (#37742)
    • Fix deadlock between PrepareRunAndInsert and UpdateTaskByState (#37718)
    • Run TransferLogs on UpdateLog{Rows:[], NoMore:true} (#37687)
    • Fix blank lines after ::endgroup:: (#37612)
    • Report individual step status in workflow job API response (#37598)
    • Prevent panic when workflow contains null jobs (#37576)
    • Validate workflow param to prevent 500 error (#37554)
    • Don't unblock run-level-concurrency-blocked runs in the resolver (#37538)
    • Fix scheduled action panic with null event payload (#37466)
  • API
    • Fix invalid UTF-8 commit messages in JSON API responses (#37585)
    • Return 409 message instead of empty JSON for wrong commit id (#37584)
  • Auth
    • Set User-Agent on avatar fetch and sync avatar on link-account register (#37726)
    • Treat email addresses case-insensitively (#37611)
  • Branch
    • Allow direct commits for unprotected files with push restrictions (#37756)
  • Build
    • Fix snap build (1.26) (#37686)
  • CLI
    • Fix "run as root" check (#37625)
  • Dependencies
    • Update dependency go to v1.26.3 (#37613)
  • Docs
    • Remove excessive quote from terraform instructions (#37426)
  • Markup
    • Make RenderString never fail (#37780)
  • Packages
    • Fix package creation unique conflict (#37776)
    • Use file names for generic web downloads (#37520)
  • Permissions
    • Fix reading permission (#37781)
  • PR
    • Handle empty pull request files view to allow reviews (#37785)
    • Add DEFAULT_TITLE_SOURCE setting for pull request title default behavior (#37766)
    • Show correct mergebase (#37656)
    • Fix merge autodetect when multiple PRs are pushed at once (#37516)
    • Fix review submission from single-commit PR view (#37485)
    • Fix compare dropdown failing when selecting branch with no common merge-base (#37472)
  • Repo
    • /generate must sync the branch table for the new repo (#37712)
    • Make clone URL respect public URL detection setting (#37617)
  • Templates
    • Add CurrentURL template variable back (#37449)
  • UI
    • Add natural sort to sortTreeViewNodes (#37777)
    • Fix mCaptcha broken after Vite migration (#37509)
    • Fix color regressions, add priority color (#37421)
  • User
    • Use consistent GetUser family functions (#37589)
    • Make GetPossibleUserByID handle deleted users (#37431)
  • Web
    • Make ServeSetHeaders default to download attachment if filename exists (#37555)

贡献者

• @0xGREG
• @agyss
• @bircni
• @cyphercodes
• @Exgene
• @jasonlearst
• @KalashThakare
• @lavamini
• @lunny
• @rootful
• @silverwind
• @techknowlogick
• @TheFox0x7
• @wxiaoguang
• @Zettat123