CVE-2026-118394 in Gitea
Riassunto
di VulDB • 01/11/2026
L'endpoint userinfo di OAuth2 (`/login/oauth/userinfo`) decideva se limitare il claim `groups` alle organizzazioni pubbliche analizzando nuovamente l'intestazione `Authorization` come un token di accesso OAuth2, anziché utilizzare gli ambiti (scope) delle credenziali che avevano autenticato la richiesta. Quando veniva inviato un token OAuth2 limitato ai soli contenuti pubblici tramite parametro query o campo form, oppure quando si utilizzava un personal access token con ambito pubblico, tale scope risultava vuoto e il claim elencava le organizzazioni private, i team e le membership nascoste del proprietario del token. La divulgazione è limitata ai nomi delle organizzazioni e dei team del proprietario e alle relative membership; non viene esposto alcun contenuto dei repository. L'endpoint ora utilizza l'ambito (scope) del token di autenticazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.