CVE-2026-116289 Elusi��n de tokens public-only mediante el registro de runners de Gitea Actions
Gitea no rechazaba tokens de acceso personal restringidos a recursos públicos (public-only) en el endpoint de token de registro de runners de Actions de una organización, y el runner registrado con el token resultante no quedaba limitado a repositorios públicos. Con solo ese token con write:organization perteneciente a un dueño de una organización pública, un atacante podía registrar un runner de nivel organización y recibir jobs de los repositorios privados de la organización con Actions habilitado, incluidos el…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 20
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
hasta antes de 28.3.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 9.1 CRÍTICA
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosNinguno
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
Gitea did not reject personal access tokens restricted to public resources (`public-only`) on the organization Actions runner registration-token endpoint, and the runner registered with the resulting token was not limited to public repositories. Holding only such a token with `write:organization` that belongs to an owner of a public organization, an attacker could register an organization-level runner and receive jobs of the organization's private repositories that have Actions enabled, including the workflow content, Actions secrets and variables, and a task token with access to the private repository. The issue widens what the restricted token can reach; it gives nothing beyond what the owner's full account can already do.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.