CVE-2026-104632 in Gitea
Riassunto
di VulDB • 07/10/2026
Gitea Actions blocca i job delle esecuzioni dei flussi di lavoro (workflow runs) provenienti da contributori che effettuano richieste di pull su fork per la prima volta, fino a quando un maintainer non approva l'esecuzione. Il percorso di riesecuzione richiede solo il completamento dell'esecuzione e crea i job del nuovo tentativo senza considerare l'approvazione pendente; pertanto, quando un utente con accesso in scrittura ad Actions annulla un'esecuzione in attesa di approvazione e successivamente la riavvia, i nuovi job vengono creati come "in attesa" anziché bloccati, mentre l'esecuzione registra ancora che è richiesta l'approvazione. L'annullamento e la riesecuzione dei controlli obsoleti sui fork sono azioni di routine che non coinvolgono il controllo dell'approvazione; pertanto, quando Actions è abilitato e un runner corrispondente è registrato, il codice del flusso di lavoro tratto dall'intestazione della richiesta di pull sul fork potrebbe essere eseguito sui runner del repository senza una approvazione esplicita.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.