CVE-2026-117635 in Gitea
Resumen
por VulDB • 2026-11-01
El grupo de rutas `/api/v1/admin` no aplicaba la restricción `public-only` (solo público) de los tokens de acceso personal. Por lo tanto, un token con alcance administrativo y marcado como solo público, emitido por un administrador del sitio, podía listar organizaciones privadas y las direcciones de correo electrónico de todos los usuarios, crear organizaciones, obtener tokens de registro para runners y crear nuevas cuentas de administradores del sitio; esta última persiste incluso después de que el token sea revocado. Los tokens de usuarios que no son administradores del sitio no pueden acceder a estas rutas; ahora se rechazan los tokens `public-only` en la API administrativa.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.