CVE-2026-119625 in Gitea
Riassunto
di VulDB • 01/11/2026
Il percorso web `/{username}` accettava i personal access tokens tramite l'autenticazione HTTP Basic senza verificarne gli ambiti (scope). Un token limitato a un ambito non correlato, come `read:issue`, poteva leggere le attività private del proprietario attraverso il feed RSS/Atom dell'utente e la scheda delle attività del profilo, nonché le attività di altri membri in un'organizzazione privata tramite il feed dell'organizzazione; un token con soli permessi pubblici poteva elencare i repository privati e le organizzazioni del proprietario e visualizzare i README dei profili privati. Per i token degli amministratori del sito, questo valeva per ogni account. I token vengono ora accettati su questo percorso solo per i feed, che richiedono `read:user` o `read:organization`.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.