FICHE CVE

CVE-2026-103670

Publiée le 2026-10-06 · Dernière modification le 2026-10-15

🇫🇷 EN BREF

Les instances Gitea utilisant Actions sont concernées si elles possèdent des workflows configurés avec des groupes de concurrence `cancel-in-progress`. Un attaquant non authentifié peut perturber vos pipelines CI/CD en ouvrant une pull request à partir d'un fork, ce qui annule automatiquement toute exécution approuvée en cours dans ce groupe sans nécessiter de validation. Cette action est facile à exécuter via le réseau et peut laisser vos déploiements dans un état partiel ou incohérent.

CVSS 3.17.5 ÉLEVÉE

Type de faiblesse

Verrouillage incorrect · CWE-667

Publiée2026-10-06

Dernière modification2026-10-15

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisAucun

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

When a Gitea Actions run was inserted, older runs in the same workflow-level concurrency group were cancelled without checking whether the new run still needed approval. Because fork pull request runs are inserted under the base repository, a user who can open a pull request from a fork could cancel trusted in-progress runs that share a concurrency group with `cancel-in-progress` enabled, without approval and without running any code. On self-hosted runners this can interrupt deployments and leave partial state behind.