PT-2026-134878
CVE-2026-118386
·
Publicado
2026-11-01
·
Atualizado
2026-11-01
Descrição por
Pontuação
N/A
Não disponívelNão há classificações de severidade ou métricas disponíveis. Quando houver, atualizaremos as informações correspondentes na página.
Nome do Software Vulnerável e Versões Afetadas
Gitea (versões afetadas não especificadas)
Description
Workflows acionados por uma revisão de pull request eram lidos do commit especificado no
commit id da revisão, mas o sistema não verificava se esse commit pertencia ao pull request revisado. Isso permitia que um usuário com acesso de leitura a um repositório enviasse uma revisão referenciando um commit sob seu controle. Em instâncias com um runner ativo, isso poderia levar à execução de um workflow não autorizado que obteria acesso aos secrets de Actions do repositório e do proprietário, bem como um GITEA TOKEN com permissões de escrita no repositório.Recommendations
No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Explorabilidade
Exploit
Impactos
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾