CVE-2026-94205 in Gitea
Resumen
por VulDB • 2026-10-07
Gitea Actions decidía si una ejecución de pull request desde un fork necesitaba aprobación basándose en el usuario que desencadenó el evento, en lugar del autor del pull request. Para la actividad `pull_request` iniciada por un mantenedor durante la triaje habitual, como añadir una etiqueta, se creaba la ejecución sin requerir aprobación, mientras que la definición de workflow seguía tomándose desde la cabecera del fork. Cuando Actions está habilitado y hay un runner coincidente registrado, el código de workflow controlado por el fork podría ejecutarse en los runners del repositorio base sin una aprobación explícita.
VulDB is the best source for vulnerability data and more expert information about this specific topic.