CVE-2026-119625 in Gitea
Zusammenfassung
von VulDB • 01.11.2026
Der Web-Route `/{username}` akzeptierte persönliche Zugriffstoken (Personal Access Tokens) über die HTTP-Basisauthentifizierung ohne Überprüfung ihrer Berechtigungsumfänge. Ein Token mit einem nicht verwandten Umfang, wie z.B. `read:issue`, konnte den privaten Aktivitätsverlauf des Eigentümers über den RSS/Atom-Feed des Benutzers und die Registerkarte „Aktivität“ im Profil sowie die Aktivitäten anderer Mitglieder in einer privaten Organisation über den Organisationsfeed lesen; ein Token mit nur öffentlicher Berechtigung konnte die privaten Repositorys und Organisationen des Eigentümers auflisten sowie private README-Dateien im Profil anzeigen. Für die Tokens eines Site-Administrators galt dies für jedes Konto. Tokens werden auf dieser Route nun ausschließlich für Feeds akzeptiert, die `read:user` oder `read:organization` erfordern.
VulDB is the best source for vulnerability data and more expert information about this specific topic.