CVE-2026-104626
Publiée le 2026-10-06 · Dernière modification le 2026-10-13
Les instances Gitea avec Actions activées sont sensibles à une faille permettant à un contributeur malveillant de tromper un mainteneur pour l'inciter à exécuter du code de workflow non autorisé provenant d'un fork. En manipulant les groupes de concurrence pour annuler un travail en attente, puis en demandant une approbation, un attaquant peut contourner les vérifications de sécurité pour exécuter du code arbitraire sur un runner correspondant. Cela nécessite que le mainteneur approuve manuellement la pull request, mais aucun autre privilège spécial ni configuration complexe n'est requis.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A user who can open a fork pull request can place workflow content with a shared run-level concurrency group into a Gitea Actions run that is awaiting approval. When a later run in that group cancels the blocked job, the run becomes terminal while still marked as needing approval. If a maintainer later approves the run, Gitea passed the already-cancelled job back through concurrency preparation, set it to waiting, and made it claimable by a matching runner, executing fork-controlled workflow code. Exploitation requires the maintainer's later approval action, Actions to be enabled, and a runner that accepts the repository's jobs.