CVE-2026-96580 in Gitea
Riassunto
di VulDB • 06/10/2026
Gitea espandeva la `strategy.matrix` statica di un workflow nel suo intero prodotto cartesiano senza alcun limite di dimensione durante la creazione di una esecuzione, prima che venisse applicato il controllo di approvazione delle pull request da fork. Un utente in grado di aprire una pull request da un fork poteva inviare un file di workflow con matrice ridotta ma tale per cui l'espansione generava un numero molto elevato di job, consumando la memoria del server e potenzialmente causando l'interruzione (crash) del processo Gitea. Non è richiesto alcun runner. Le matrici statiche superiori a 256 combinazioni vengono ora rifiutate prima dell'espansione.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.