CVE-2026-116474

Nome do Software Vulnerável e Versões Afetadas Gitea (versões afetadas não especificadas)

Descrição Existe uma falha onde o GITEA TOKEN utilizado em jobs do Gitea Actions autentica-se como o usuário do sistema gitea-actions. Os endpoints de e-mail e chave GPG em /api/v1/user aceitavam incorretamente esse usuário do sistema, permitindo que um job registrasse um endereço de e-mail e uma chave GPG. Como a confirmação de e-mail não é exigida por padrão, o endereço é armazenado como ativado. A verificação de commit trata uma chave sem um proprietário real como a chave de assinatura da instância, permitindo que qualquer usuário capaz de executar um job de workflow faça com que commits assinados com sua própria chave apareçam como confiáveis e assinados pela instância em todos os repositórios, incluindo pull requests para repositórios nos quais o usuário não possui acesso de escrita. O impacto limita-se ao status da assinatura exibida; mecanismos de imposição, como commits assinados obrigatórios, apenas verificam se a assinatura é válida e não são afetados, e nenhum acesso não autorizado é concedido.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.