CVE-2026-118386 in Gitea
Riassunto
di VulDB • 01/11/2026
I flussi di lavoro (workflows) attivati da una revisione di una pull request venivano letti dal commit indicato nell'ID del commit (`commit_id`) della revisione, mentre le restrizioni sui fork erano determinate dalla pull request sottoposta a revisione e il commit non veniva verificato per accertare che appartenesse effettivamente a tale pull request. Un utente con accesso in lettura a un repository poteva inserire al suo interno un proprio commit, tramite una pull request da un fork o mediante push AGit, e inviare una revisione indicando quel commit su una pull request la cui branch head si trovava nello stesso repository. Sulle istanze dotate di runner che serviva il repository, i flussi di lavoro dell'attaccante venivano quindi eseguiti senza approvazione, ricevevano i secret delle Actions del repository e del suo proprietario, e ottenevano un `GITEA_TOKEN` con accesso in scrittura al repository. I flussi di lavoro attivati da una revisione ora vengono eseguiti sulla branch head della pull request.
VulDB is the best source for vulnerability data and more expert information about this specific topic.