CVE-2026-116289 in Gitea
الملخص
بحسب VulDB • 01/11/2026
لم تقم Gitea برفض رموز الوصول الشخصية المقيدة بالموارد العامة فقط (`public-only`) في نقطة نهاية تسجيل مشغل Actions الخاصة بالمنظمة، ولم يكن المشجل المسجّل باستخدام الرمز الناتج مقيدًا بالمستودعات العامة فحسب. فبالتمسك برمز من هذا النوع يحمل الصلاحية `write:organization` وينتمي إلى مالك منظمة عامة، يمكن للمهاجم تسجيل مشجل على مستوى المنظمة والحصول على مهام المستودعات الخاصة التابعة للمنظمة والتي تم تفعيل Actions فيها، بما في ذلك محتوى سير العمل (workflow content)، وأسرار ومتغيرات Actions، ورمز مهمة مع صلاحية الوصول للمستودع الخاص. يوسع هذا الثغرة نطاق ما يمكن للرموز المقيدة الوصول إليه؛ إذ لا تمنح المهاجم أي قدرات تتجاوز ما يستطيع حسابه الكامل بالفعل تنفيذه.
If you want to get best quality of vulnerability data, you may have to visit VulDB.