发布日期: 2026-03-13
版本号: v1.25.5

本版本更新包含安全改进、功能增强和错误修复三方面内容。安全方面，更新了Go工具链版本，修复了包括重定向绕过、权限检查、OAuth2处理、仓库字段验证、分支更新权限、镜像LFS迁移、路径解析、资源释放、组织权限API、公开URL检测以及OAuth2签名等在内的多项安全问题。功能增强方面，将安全检查调整为仅提示信息，升级了circl、svgo、markdownlint-cli和gogit等依赖，增加了对用户禁用特征的验证，优化了运行器标签列表显示，在RPM安装指引中添加了dnf5命令，并允许代码编辑器外部区域滚动。错误修复方面，解决了非管理员无法合并来自分叉的拉取请求、推送wiki镜像、工件上传、CRAN包版本验证、强制推送提交评论、SVG高度计算、推送时间错误、受保护分支规则名称冲突、LFS垃圾回收、Monaco编辑器焦点丢失、加载更多文件后内容重新处理、指派侧边栏链接和空占位符、问题过滤下拉菜单空标签显示、Mermaid渲染问题、并发上传容器Blob的数据竞争以及用户名与机器人标签间距等众多问题。Gitea Cloud实例将在维护窗口期间自动升级至此版本。

更新内容 （中文）

  • 安全更新

    • 工具链升级至 Go 1.25.6 (#36480) (#36487)
    • 调整工具链版本 (#36537) (#36542)
    • v1.25 版本工具链更新至 1.25.8 (#36888)
    • 防止通过反斜杠编码路径绕过重定向 (#36660) (#36716)
    • 修复发布草稿权限检查问题 (#36659) (#36715)
    • 修复用户可修改其他用户主邮箱的漏洞 (#36586) (#36607)
    • 修复 OAuth2 授权码过期与重复使用处理机制 (#36797) (#36851)
    • 为仓库创建字段添加验证约束 (#36671) (#36757)
    • 修复检查用户是否有权更新拉取请求分支或变基分支的缺陷 (#36465) (#36838)
    • 为推送/同步镜像 LFS 添加迁移 HTTP 传输支持 (#36665) (#36691)
    • 修复追踪时间列表的权限检查问题 (#36662) (#36744)
    • 修复追踪时间的问题 ID (#36664) (#36689)
    • 修复路径解析问题 (#36734) (#36746)
    • 修复发布资源转储漏洞 (#36799) (#36839)
    • 修复组织权限 API 对隐藏成员和私有组织的可见性检查 (#36798) (#36841)
    • 修复公共 URL 检测中的转发协议头处理 (#36810) (#36836)
    • 添加 git grep 搜索超时机制 (#36809) (#36835)
    • 修复 OAuth2 S256 验证问题 (#36462) (#36477)

  • 功能增强

    • 将 security-check 设置为仅提示信息 (#36681) (#36852)
    • 升级至 github.com/cloudflare/circl 1.6.3、svgo 4.0.1、markdownlint-cli 0.48.0 (#36840)
    • 为 USER_DISABLED_FEATURES 和 EXTERNAL_USER_DISABLED_FEATURES 配置值添加验证 (#36688) (#36692)
    • 升级 gogit 至 5.16.5 (#36687)
    • 为运行器标签列表添加换行包裹 (#36565) (#36574)
    • 在 RPM 包安装说明中添加 Fedora 的 dnf5 命令 (#36527) (#36572)
    • 允许代码编辑器外部区域的滚动事件传播 (#36502) (#36510)

  • 问题修复

    • 修复非管理员无法自动合并来自 Fork 仓库的拉取请求问题 (#36833) (#36843)
    • 修复推送包含 Wiki 的镜像仓库时的缺陷 (#36795) (#36807)
    • 修复 Artifacts v4 后端上传问题 (#36805) (#36834)
    • 修复 CRAN 包版本验证，允许超过 4 个版本组件 (#36813) (#36821)
    • 修复拉取请求强制推送时间线的提交评论问题 (#36653) (#36717)
    • 修复差异查看器中的 SVG 高度计算问题 (#36748) (#36750)
    • 修复推送时间记录错误 (#36693) (#36713)
    • 修复保护分支规则名称与重命名分支名称冲突的缺陷 (#36650) (#36661)
    • 修复 LFS 垃圾回收时的缺陷 (#36500) (#36608)
    • 修复 Monaco 编辑器的焦点丢失问题 (#36609)
    • 加载更多文件后重新处理 htmx 内容 (#36568) (#36577)
    • 修复指派人侧边栏链接及空占位符问题 (#36559) (#36563)
    • 修复问题筛选下拉菜单显示空标签范围区域的问题 (#36535) (#36544)
    • 修复各类 Mermaid 渲染问题 (#36547) (#36552)
    • 修复并发上传容器 Blob 时的数据竞争问题 (#36524) (#36526)
    • 修正用户名与机器人标签之间的间距 (#36473) (#36484)

Gitea Cloud 上的实例将在指定的维护窗口期间自动升级至此版本。

更新内容 （原始）

  • SECURITY

    • Toolchain Update to Go 1.25.6 (#36480) (#36487)
    • Adjust the toolchain version (#36537) (#36542)
    • Update toolchain to 1.25.8 for v1.25 (#36888)
    • Prevent redirect bypasses via backslash-encoded paths (#36660) (#36716)
    • Fix get release draft permission check (#36659) (#36715)
    • Fix a bug user could change another user’s primary email (#36586) (#36607)
    • Fix OAuth2 authorization code expiry and reuse handling (#36797) (#36851)
    • Add validation constraints for repository creation fields (#36671) (#36757)
    • Fix bug to check whether user can update pull request branch or rebase branch (#36465) (#36838)
    • Add migration http transport for push/sync mirror lfs (#36665) (#36691)
    • Fix track time list permission check (#36662) (#36744)
    • Fix track time issue id (#36664) (#36689)
    • Fix path resolving (#36734) (#36746)
    • Fix dump release asset bug (#36799) (#36839)
    • Fix org permission API visibility checks for hidden members and private orgs (#36798) (#36841)
    • Fix forwarded proto handling for public URL detection (#36810) (#36836)
    • Add a git grep search timeout (#36809) (#36835)
    • Fix oauth2 s256 (#36462) (#36477)

  • ENHANCEMENTS

    • Make security-check informational only (#36681) (#36852)
    • Upgrade to github.com/cloudflare/circl 1.6.3, svgo 4.0.1, markdownlint-cli 0.48.0 (#36840)
    • Add some validation on values provided to USER_DISABLED_FEATURES and EXTERNAL_USER_DISABLED_FEATURES (#36688) (#36692)
    • Upgrade gogit to 5.16.5 (#36687)
    • Add wrap to runner label list (#36565) (#36574)
    • Add dnf5 command for Fedora in RPM package instructions (#36527) (#36572)
    • Allow scroll propagation outside code editor (#36502) (#36510)

  • BUGFIXES

    • Fix non-admins unable to automerge PRs from forks (#36833) (#36843)
    • Fix bug when pushing mirror with wiki (#36795) (#36807)
    • Fix artifacts v4 backend upload problems (#36805) (#36834)
    • Fix CRAN package version validation to allow more than 4 version components (#36813) (#36821)
    • Fix force push time-line commit comments of pull request (#36653) (#36717)
    • Fix SVG height calculation in diff viewer (#36748) (#36750)
    • Fix push time bug (#36693) (#36713)
    • Fix bug the protected branch rule name is conflicted with renamed branch name (#36650) (#36661)
    • Fix bug when do LFS GC (#36500) (#36608)
    • Fix focus lost bugs in the Monaco editor (#36609)
    • Reprocess htmx content after loading more files (#36568) (#36577)
    • Fix assignee sidebar links and empty placeholder (#36559) (#36563)
    • Fix issues filter dropdown showing empty label scope section (#36535) (#36544)
    • Fix various mermaid bugs (#36547) (#36552)
    • Fix data race when uploading container blobs concurrently (#36524) (#36526)
    • Correct spacing between username and bot label (#36473) (#36484)

Instances on Gitea Cloud will be automatically upgraded to this version during the specified maintenance window.

下载链接