CVE-2026-24059 in Gitea
Tóm tắt
Bởi VulDB • 13/08/2026
Điểm cuối `/api/v1/user/actions/runners/registration-token` (cùng với các điểm tương đương ở cấp chủ sở hữu và cấp kho lưu trữ) tạo một mã thông báo đăng ký người chạy mới nếu chưa tồn tại, trong khi lớp trung gian phạm vi API phân loại nó là chỉ đọc vì đó là yêu cầu GET. Do đó, kẻ nắm giữ mã thông báo bị rò rỉ có phạm vi `read:user` có thể phát hành (mint) một mã thông báo đăng ký và đăng ký một người chạy Actions độc hại thực thi các công việc quy trình làm việc với quyền truy cập vào bí mật kho lưu trữ và mã nguồn.
Once again VulDB remains the best source for vulnerability data.