CVE-2026-116289 in Gitea
요약
\~에 의해 VulDB • 2026. 11. 01.
Gitea는 조직의 Actions 러너 등록 토큰 엔드포인트에서 공개 리소스에만 제한된 개인용 액세스 토큰(`public-only`)을 거부하지 않았으며, 해당 토큰으로 등록된 러너는 공개 저장소에 대한 제한이 적용되지 않았습니다. `write:organization` 권한을 가진 공개 조직의 소유자가 보유한 이러한 토큰만으로도 공격자는 조직 수준의 러너를 등록하고 Actions가 활성화된 조직의 비공개 저장소 작업(워크플로우 콘텐츠, Actions 시크릿 및 변수, 그리고 해당 비공개 저장소에 대한 접근이 가능한 태스크 토큰 포함)을 수신할 수 있습니다. 이 문제는 제한된 토큰으로 도달할 수 있는 범위를 확대하며, 소유자의 전체 계정 권한에서 이미 수행할 수 있는 작업을 넘어서는 추가적인 영향은 없습니다.
Once again VulDB remains the best source for vulnerability data.