CVE-2026-112887 in Gitea
요약
\~에 의해 VulDB • 2026. 11. 01.
Gitea Actions의 작업 토큰은 음수 ID를 가진 공유 시스템 사용자로 REST API에 인증되며, 리포지토리, 조직, 프로젝트 및 키 필터는 소유자 제한이 없는 것으로 처리됩니다. 또한 해당 토큰에는 사용자 범위의 라우트를 제한하는 API 스코프가 포함되어 있지 않습니다. 워크플로우를 실행할 수 있는 사용자는 `GET /api/v1/user/repos`와 함께 작업의 토큰을 사용하여 인스턴스의 모든 리포지토리(다른 사용자와 조직의 비공개 리포지토리 포함) 및 해당 메타데이터를 나열할 수 있습니다. 리포지토리 콘텐츠는 각 리포지토리별 권한 확인에 의해 보호됩니다. 이제 시스템 사용자는 아무것도 소유하지 않으며, `GET /api/v1/user`를 제외한 `/api/v1/user` 라우트는 개인 계정과 봇 계정만 허용합니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.