CVE-2026-117635 in Gitea
Zusammenfassung
von VulDB • 01.11.2026
Die Route-Gruppe `/api/v1/admin` hat die Einschränkung `public-only` für persönliche Zugriffstoken nicht durchgesetzt. Ein öffentlicher Token mit Admin-Bereich, der von einem Site-Administrator ausgestellt wurde, konnte daher private Organisationen und E-Mail-Adressen aller Benutzer auflisten, neue Organisationen erstellen, Registrierungs-Tokens für Runner erhalten und neue Site-Administratorkonten anlegen; Letzteres bleibt auch nach dem Widerrufen des Tokens bestehen. Token von Benutzern, die keine Site-Administratoren sind, können diese Routen nicht erreichen; öffentliche Token werden in der Admin-API nun abgelehnt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.