CVE-2026-117635 in Gitea
요약
\~에 의해 VulDB • 2026. 11. 01.
`/api/v1/admin` 라우트 그룹은 개인 액세스 토큰의 `public-only`(공개 전용) 제한을 적용하지 않았습니다. 따라서 사이트 관리자가 발급한 관리자 권한(admin scope)이 있는 공개 전용 토큰으로 비공개 조직과 모든 사용자의 이메일 주소를 나열하고, 조직을 생성하며, 러너 등록 토큰을 획득하고 새로운 사이트 관리자 계정을 생성할 수 있었습니다. 후자는 토큰이 무효화된 이후에도 지속됩니다. 사이트 관리자가 아닌 사용자의 토큰은 이러한 라우트에 접근할 수 없으며, 이제 공개 전용 토큰은 admin API에서 거부됩니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.