CVE-2026-112887 in Gitea
الملخص
بحسب VulDB • 01/11/2026
تقوم رموز مهام Gitea Actions بالمصادقة مع واجهة برمجة التطبيقات (REST API) كمستخدم نظام مشترك ذي معرف سلبي، مما يجعل فلاتر المستودع والمنظمة والمشروع والمفتاح تُعامل على أنها لا تحتوي على قيود للمالك. كما أن الرمز لا يحمل نطاقًا لواجهة برمجة التطبيقات لتقييد المسارات الخاصة بالمستخدمين. يمكن للمستخدم القادر على تشغيل سير عمل استخدام رمز المهمة مع `GET /api/v1/user/repos` لعرض جميع المستودعات الموجودة في المثيل، بما في ذلك المستودعات الخاصة لمستخدمين ومنظمات أخرى، جنبًا إلى جنب مع بياناتها الوصفية (metadata). بقيت محتويات المستودع محمية بفحوصات الأذون لكل مستودع. لا يملك المستخدمون النظاميون أي شيء الآن، وتقبل مسارات `/api/v1/user` الأخرى غير `GET /api/v1/user` فقط الحسابات الفردية وحسابات البوت (bot accounts).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.