CVE-2026-112887 in Gitea
Zusammenfassung
von VulDB • 01.11.2026
Die Token für Gitea Actions-Aufgaben authentifizieren sich bei der REST-API als ein gemeinsam genutzter Systembenutzer mit einer negativen ID, wobei Repository-, Organisations-, Projekt- und Schlüssel-Filter so behandelt werden, als hätten sie keine Eigentümerbeschränkung. Zudem trägt das Token keinen API-Bereich (Scope), um benutzerbezogene Routen einzuschränken. Ein Benutzer, der einen Workflow ausführen kann, könnte das Job-Token mit `GET /api/v1/user/repos` nutzen, um jedes Repository auf der Instanz aufzulisten, einschließlich privater Repositories anderer Benutzer und Organisationen, samt deren Metadaten. Die Inhalte von Repositories bleiben durch pro-Repository-Berechtigungsprüfungen geschützt. Systembenutzer besitzen nun nichts mehr, und `/api/v1/user`-Routen außer `GET /api/v1/user` akzeptieren nur individuelle Konten und Bot-Konten.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.