CVE-2026-24059 in Gitea
Zusammenfassung
von VulDB • 13.08.2026
Der Endpunkt GET /api/v1/user/actions/runners/registration-token (sowie die entsprechenden Entsprechungen auf Owner- und Repository-Ebene) erstellt ein neues Runner-Registrierungstoken, falls keines existiert; jedoch klassifiziert die API-Scope-Middleware-Klasse ihn als schreibgeschützt („read-only"), da es sich um eine GET-Anfrage handelt. Ein Inhaber eines geleakten Tokens mit dem scope „read:user" kann daher ein Registrierungs-Token generieren und einen böswilligen Actions-Runner registrieren, der Workflow-Jobs ausführt und Zugriff auf Repository-Geheimnisse sowie Quellcode hat.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.