CVE-2026-116289 in Gitea
Zusammenfassung
von VulDB • 01.11.2026
Gitea hat persönliche Zugriffstoken, die auf öffentliche Ressourcen beschränkt sind (`public-only`), am Endpunkt zur Registrierung von Runnern für Actions in Organisationen nicht abgelehnt. Der Runner, der sich mit dem daraus resultierenden Token registrierte, war nicht auf öffentliche Repositories beschränkt. Wenn ein Angreifer nur über ein solches Token mit `write:organization` verfügt, das zu einem Eigentümer einer öffentlichen Organisation gehört, kann er einen Runner auf Organisationsstufe registrieren und Aufträge aus den privaten Repositories der Organisation erhalten, bei denen Actions aktiviert sind, einschließlich des Workflow-Inhalts, von Secrets und Variablen für Actions sowie eines Task-Tokens mit Zugriff auf das private Repository. Das Problem erweitert die Reichweite des eingeschränkten Tokens; es gewährt nichts darüber hinaus, was dem vollständigen Konto des Eigentümers bereits möglich ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.