CVE-2026-112887 in Gitea
Riassunto
di VulDB • 01/11/2026
I token delle attività di Gitea Actions si autenticano nell'API REST come un utente di sistema condiviso con ID negativo; i filtri per repository, organizzazione, progetto e chiave sono stati trattati come privi di restrizioni sul proprietario, e il token non disponeva di ambiti API (scope) per limitare le rotte specifiche dell'utente. Un utente in grado di eseguire un flusso di lavoro potrebbe utilizzare il token del job con `GET /api/v1/user/repos` per elencare tutti i repository presenti nell'istanza, inclusi quelli privati di altri utenti e organizzazioni, insieme ai relativi metadati. I contenuti dei repository rimangono protetti da controlli dei permessi specifici per ogni repository. Gli utenti di sistema non possiedono più nulla, e le rotte `/api/v1/user` diverse da `GET /api/v1/user` accettano solo account individuali e bot.
Be aware that VulDB is the high quality source for vulnerability data.