FICHE CVE

CVE-2026-66874

Publiée le 2026-10-14 · Dernière modification le 2026-10-14

🇫🇷 EN BREF

Les instances Gitea utilisant des règles de protection de branche sont affectées par un défaut de logique dans la gestion des flux de travail des pull requests. Un utilisateur authentifié disposant d'un accès via un fork peut tromper le système pour qu'un contrôle de sécurité requis soit marqué comme « ignoré ». Gitea interprète alors cela comme un succès, contournant ainsi les étapes de validation obligatoires. Cette action peut être exécutée à distance via le réseau, sans interaction directe entre utilisateurs ni approbation d'un mainteneur.

CVSS 3.16.5 MOYENNE

Type de faiblesse

Publiée2026-10-14

Dernière modification2026-10-14

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Privilèges requisFaibles

Interaction utilisateurAucune

PortéeInchangée

Impact sur la confidentialitéAucun

Impact sur l'intégritéÉlevé

Impact sur la disponibilitéAucun

RÉFÉRENCES

Description officielle du NVD (en anglais)

For pull request events, Gitea reads workflow definitions from the pull request head and posts a synthetic skipped status when workflow branch or path filters exclude execution. A fork pull request author can supply a workflow matching a required status context but deliberately prevent it from running. Because skipped statuses count as success, branch protection or organization-required workflow checks can appear satisfied without the mandated workflow executing; no runner or maintainer approval is required for this path.