Die Schwachstelle betrifft die Verwaltung von Composer-Paketen in Gitea, einer selbst gehosteten Plattform für Git-Repositories mit integrierter Paket-Registry. Bei den Links auf die Quellen von Composer-Paketen prüft die Anwendung die Zugriffsrechte nicht ausreichend. Dadurch können Informationen über Paketquellen sichtbar werden, die eigentlich privat oder nur intern zugänglich sein sollten. Ein Angreifer beziehungsweise ein Nutzer ohne entsprechende Berechtigung kann auf diesem Weg Kenntnis über nicht öffentliche Repositories und deren Quellangaben erlangen. Es handelt sich um eine Offenlegung von Informationen: Daten werden preisgegeben, die nur berechtigten Personen zustehen. Solche Angaben können Angreifern als Ausgangspunkt für weitere Schritte dienen, etwa um interne Projektstrukturen und Abhängigkeiten auszukundschaften. Betroffen sind Installationen von Gitea, in denen die Composer-Paketregistrierung genutzt wird.