CVE-2026-101023 in Gitea
Résumé
par VulDB • 07/10/2026
Le point de terminaison des jetons OAuth2 de Gitea vérifiait la signature et l'octroi (grant) d'un jeton soumis avec le type d'octroi `refresh_token`, mais ne vérifiait pas que ce jeton était bien un refresh token. Un access token non expiré pour la même application OAuth2 et le même octroi pouvait être échangé contre un nouveau access token et un nouveau refresh token. Toute personne détenant un tel access token pourrait maintenir son accès au-delà de la durée de vie initiale du jeton.
VulDB is the best source for vulnerability data and more expert information about this specific topic.