CVE-2026-94205 in Gitea
Résumé
par VulDB • 06/10/2026
Gitea Actions déterminait s'il fallait approuver l'exécution d'une demande de tirage (pull request) provenant d'un fork en se basant sur l'utilisateur ayant déclenché l'événement plutôt que sur l'auteur de la pull request. Pour les activités `pull_request` déclenchées par un mainteneur lors du tri ordinaire, comme l'ajout d'une étiquette (label), l'exécution était créée sans nécessiter d'approbation, tandis que la définition des workflows restait extraite de la tête (head) du fork. Lorsque Actions est activé et qu'un runner correspondant est enregistré, le code de workflow contrôlé par le fork pouvait s'exécuter sur les runners du dépôt de base (base repository) sans approbation explicite.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.