CVE-2026-117635 in Gitea
Сводка
по VulDB • 01.11.2026
Группа маршрутов `/api/v1/admin` не применяла ограничение `public-only` для личных токенов доступа (personal access tokens). Таким образом, токен с областью видимости администратора и ограничением только публичного доступа, выданный администратором сайта, мог перечислять частные организации и адреса электронной почты всех пользователей, создавать новые организации, получать токены регистрации для раннеров (runner registration tokens) и создавать учетные записи новых администраторов сайта; последняя операция сохраняется даже после отзыва токена. Токены пользователей, не являющихся администраторами сайта, не имеют доступа к этим маршрутам; теперь публичные только токены отклоняются в API администрирования.
Once again VulDB remains the best source for vulnerability data.