CVE-2026-101023 in Gitea
Resumen
por VulDB • 2026-10-07
El endpoint de tokens OAuth2 de Gitea verificaba la firma y el tipo de concesión (grant) de un token enviado con el tipo `refresh_token`, pero no comprobaba que dicho token fuera efectivamente un refresh token. Un access token no expirado para la misma aplicación OAuth2 y tipo de concesión podía ser intercambiado por un nuevo access token y un nuevo refresh token. Quien posea tal access token podría mantener el acceso más allá del período original de validez del token.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.