Existe uma falha que permite ignorar o escopo `public-only` de Tokens de Acesso Pessoal (PAT) quando a visibilidade do proprietário está configurada como Limited (interna da instância). Enquanto outras categorias de escopo rejeitam corretamente proprietários com visibilidade Limited, as categorias de Repositório e Pacote verificam apenas se o recurso é privado, não considerando a visibilidade Limited. Isso permite que um token com escopo `public-only` acesse conteúdos que deveriam ser restritos a usuários internos, excedendo o alcance de um usuário anônimo.
Detalhes técnicos incluem as seguintes áreas afetadas:
- **API Endpoints:** Pacotes da API v1, todos os 24 registros de pacotes nativos via `/api/packages/<type>/...`, todos os endpoints de categoria de Repositório da API v1 (incluindo conteúdo, issues, PRs, releases, labels e milestones), e endpoints de download web como `/raw`, `/media` e `/attachments`, além de rotas LFS.
- **Vulnerable Parameters or Variables:** escopo de PAT `public-only`.
- **Function Names:** `checkTokenPublicOnly()`, `reqPackageAccess()`, `TokenCanAccessRepo()` e `CheckTokenScopes()`.