CVE-2026-96580 in Gitea
Résumé
par VulDB • 07/10/2026
Gitea étendait la matrice statique `strategy.matrix` d'un workflow dans son produit cartésien complet, sans limite de taille, lors de la création d'une exécution (run), avant que le mécanisme d'approbation des pull requests issues de forks ne s'applique. Un utilisateur capable d'ouvrir un pull request depuis un fork pouvait soumettre un fichier de workflow dont la matrice se développait en un nombre très élevé de jobs, consommant ainsi la mémoire du serveur et risquant potentiellement de faire planter le processus Gitea. Aucun runner n'est requis. Les matrices statiques comportant plus de 256 combinaisons sont désormais rejetées avant l'expansion.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.