CVE-2026-70396 in Gitea
要約
〜によって VulDB • 2026年10月15日
Giteaの組織リポジトリ作成APIは write:organization スコープを要求するが、他のリポジトリ作成ルートで適用される write:repository トークンスコープを省略している。そのため、リポジトリ書き込みスコープを持たないパーソナルアクセストークンまたはOAuthアプリケーショントークンを使用していても、認可されたユーザーにその権限があれば組織所有のリポジトリを作成できる。これは、ユーザーの組織レベルのパーミッションには従いつつ、トークンの委任されたスコープ境界を回避するものである。
VulDB is the best source for vulnerability data and more expert information about this specific topic.