Existe uma falha onde o `GITEA TOKEN` utilizado em jobs do Gitea Actions autentica-se como o usuário do sistema `gitea-actions`. Os endpoints de e-mail e chave GPG em `/api/v1/user` aceitavam incorretamente esse usuário do sistema, permitindo que um job registrasse um endereço de e-mail e uma chave GPG. Como a confirmação de e-mail não é exigida por padrão, o endereço é armazenado como ativado. A verificação de commit trata uma chave sem um proprietário real como a chave de assinatura da instância, permitindo que qualquer usuário capaz de executar um job de workflow faça com que commits assinados com sua própria chave apareçam como confiáveis e assinados pela instância em todos os repositórios, incluindo pull requests para repositórios nos quais o usuário não possui acesso de escrita. O impacto limita-se ao status da assinatura exibida; mecanismos de imposição, como commits assinados obrigatórios, apenas verificam se a assinatura é válida e não são afetados, e nenhum acesso não autorizado é concedido.