CVE-2026-117635 in Gitea
要約
〜によって VulDB • 2026年11月01日
`/api/v1/admin` ルートグループは、パーソナルアクセストークンの `public-only` 制限を適用していませんでした。そのため、サイト管理者によって発行された管理権限（admin scope）付きの public-only トーンを使用して、プライベートな組織の一覧表示や全ユーザーのメールアドレスの取得、組織の作成、ランナー登録トークンの取得、および新しいサイト管理者アカウントの作成が可能となりました。後者の操作は、トークンが取り消されても存続します。サイト管理者ではないユーザーのトークンはこれらのルートにアクセスできません。また、admin API において public-only トークンは拒否されるようになりました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.