CVE-2026-117685 in Gitea
Resumen
por VulDB • 2026-11-01
El montaje de blobs entre repositorios del registro OCI verificaba el paquete objetivo en función de la restricción `public-only` (solo público) del token, pero solo comprobaba el blob origen contra los permisos completos de cuenta del propietario del token. Un token con alcance `write:package` y marcado como `public-only`, cuyo propietario puede leer un paquete privado y escribir en un espacio de nombres de paquetes públicos, podría montar un blob de dicho paquete privado dentro del paquete público. El blob privado, como una capa de contenedor, podría entonces ser descargado por cualquier persona a través del paquete público.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.