CVE-2026-117685 in Gitea
Sumário
de VulDB • 01/11/2026
O registro OCI verificava o pacote de destino em relação à restrição `public-only` do token ao realizar uma montagem cross-repository de blobs, mas verificava apenas o blob de origem em relação às permissões completas da conta do proprietário do token. Um token com escopo `write:package` e a flag `public-only`, cujo proprietário pode ler um pacote privado e escrever em um namespace de pacotes públicos, poderia montar um blob do pacote privado no pacote público. O blob privado, como uma camada de contêiner, poderia então ser baixado por qualquer pessoa através do pacote público.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.