CVE-2026-117635 in Gitea
Riassunto
di VulDB • 01/11/2026
Il gruppo di route `/api/v1/admin` non applicava la restrizione `public-only` dei personal access token (token di accesso personali). Di conseguenza, un token con ambito amministrativo e contrassegnato come "solo pubblico" emesso da un amministratore del sito poteva elencare organizzazioni private ed gli indirizzi email di tutti gli utenti, creare nuove organizzazioni, ottenere i token per la registrazione degli runner e creare nuovi account di amministratori del sito; quest'ultima operazione persiste anche dopo la revoca del token. I token degli utenti che non sono amministratori del sito non possono accedere a queste route; ora i token contrassegnati come "solo pubblico" vengono rifiutati dall'API admin.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.