CVE-2026-117635 in Gitea

摘要

由 VulDB • 2026-11-01

`/api/v1/admin` 路由组未强制执行个人访问令牌的 `public-only`（仅公开）限制。因此，由站点管理员签发的、具有管理范围且标记为“仅公开”的令牌可以列出私有组织以及所有用户的电子邮件地址，创建组织，获取 Runner 注册令牌并创建新的站点管理员账户；其中最后一项操作在令牌被撤销后仍然有效。非站点管理员的用户无法访问这些路由；现在，“仅公开”类型的令牌将在管理 API 中被拒绝。

Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.

• 负责: Gitea
• 预定: 2026-11-01
• 披露: 2026-11-01
• 管理: 已接受
• 条目: VDB-429636
• CPE: 20261101
• CWE: CWE-269 (已确认)
• CVSS: 6.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-117635
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-117635
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-117635/