CVE-2026-112887 Enumeración de repositorios privados con tokens de tareas de Gitea Actions
Los tokens de tareas de Gitea Actions se autentican en la API REST como un usuario de sistema compartido con ID negativo, que los filtros de repositorio, organización, proyecto y clave trataban como sin restricción de propietario, y el token no tenía alcance de API para restringir rutas de usuario. Un usuario que pudiera ejecutar un workflow podía usar el token del job con GET /api/v1/user/repos para listar todos los repositorios de la instancia, incluidos los privados de otros usuarios y organizaciones, con sus…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 19
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
hasta antes de 28.3.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 4.3 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadBaja
- IntegridadNinguna
- DisponibilidadNinguna
Descripción original
Gitea Actions task tokens authenticate to the REST API as a shared system user with a negative ID, which repository, organization, project and key filters treated as having no owner restriction, and the token carried no API scope to restrict user-scoped routes. A user who can run a workflow could use the job's token with `GET /api/v1/user/repos` to list every repository on the instance, including private repositories of other users and organizations, with their metadata. Repository contents remained protected by per-repository permission checks. System users now own nothing, and `/api/v1/user` routes other than `GET /api/v1/user` accept only individual and bot accounts.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.