CVE-2026-63792
Publiée le 2026-10-14 · Dernière modification le 2026-10-14
Les installations de Gitea utilisant des configurations de propriétaires collaboratifs pour les dépôts privés sont concernées. Un attaquant disposant d'un compte avec des privilèges restreints peut lire le contenu de workflows réutilisables privés provenant d'un dépôt approuvé en soumettant une pull request spécialement conçue depuis un fork. Cela nécessite un accès réseau et une configuration complexe, mais n'accorde pas à l'attaquant d'accès en écriture ni la possibilité d'exécuter du code.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Gitea's collaborative-owner authorization path for reading cross-repository reusable workflows does not exclude fork pull request runs. An approved fork workflow targeting a private repository can read workflow files from another private repository that trusts the base repository's owner through collaborative-owner configuration. The issue exposes private reusable workflow contents at caller-selected Git refs; it does not itself grant write access or code execution in the other repository.