CVE-2026-119441
Publiée le 2026-11-01 · Dernière modification le 2026-11-01
L'API de gestion des organisations de Gitea présente une faille dans laquelle le point de terminaison de suppression des dépôts ne restreint pas correctement les jetons d'accès. Plus précisément, le système vérifie uniquement si l'organisation est publique, sans vérifier si le jeton utilisé possède des restrictions limitées aux données publiques. Cela permet à un jeton qui ne devrait accéder qu'à des données publiques d'effectuer des actions administratives sur des ressources privées.
Un attaquant possédant un jeton limité au public appartenant au propriétaire d'une organisation peut supprimer définitivement tous les dépôts de cette organisation, y compris les dépôts privés. Cela entraîne une perte totale de l'intégrité et de la disponibilité des données pour les dépôts concernés. L'exploitation nécessite un jeton de propriétaire valide et un accès réseau à l'API, bien qu'elle contourne les restrictions de sécurité prévues pour ce jeton.
RÉFÉRENCES
Description officielle du NVD (en anglais)
`DELETE /api/v1/orgs/{org}/repos` deletes all repositories of an organization, but it did not enforce the public-only restriction of access tokens: the route only checked that the organization itself was public. A public-only token of an owner of a public organization could therefore permanently delete the organization's private repositories, which such a token must not reach. Routes that require organization ownership now reject public-only tokens.