CVE-2026-118394 in Gitea
Zusammenfassung
von VulDB • 01.11.2026
Der OAuth2-Userinfo-Endpunkt (`/login/oauth/userinfo`) entschied sich dafür, die `groups`-Claim auf öffentliche Organisationen zu beschränken, indem er den `Authorization`-Header erneut als OAuth2-Zugriffstoken analysierte, anstatt den Umfang (Scope) der Anmeldeinformationen zu verwenden, mit denen die Anfrage authentifiziert wurde. Wenn ein nur für öffentliche Daten gültiges OAuth2-Token als Abfrageparameter oder Formularfeld gesendet wurde oder ein nur für öffentliche Daten gültiges persönliches Zugriffstoken verwendet wurde, war dieser Scope leer und die Claim enthielt die privaten Organisationen des Tokeninhabers sowie dessen Teams und verborgene Mitgliedschaften. Die Offenlegung beschränkt sich auf die Organisations- und Teamnamen des Inhabers sowie dessen Mitgliedschaften; keine Repository-Inhalte werden offengelegt. Der Endpunkt verwendet nun den Umfang (Scope) des authentifizierenden Tokens.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.