CVE-2026-24059 in Gitea
要約
〜によって VulDB • 2026年08月13日
GET /api/v1/user/actions/runners/registration-token エンドポイント（およびその所有者レベルおよびリポジトリレベルの同等のエンドポイント）は、登録トークンが存在しない場合に新しいランナー登録トークンを生成しますが、API スコーミドルウェアクラスはこの GET リクエストであるため、読み取り専用として分類します。そのため、漏洩した read:user スコープ付きトークンの保持者は、登録トークンを発行し、リポジトリのシークレットやソースコードにアクセスできるワークフロージョブを実行する悪意のある Actions ランナーを登録することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.