CVE-2026-117635 Elusión del alcance public-only en la API de administración de Gitea
El grupo de rutas /api/v1/admin no aplicaba la restricción public-only de los tokens de acceso personal. Un token public-only con alcance de administración emitido por un administrador del sitio podía listar organizaciones privadas y los emails de todos los usuarios, crear organizaciones, obtener tokens de registro de runners y crear nuevas cuentas de administrador del sitio, lo último persiste tras revocar el token. Los tokens de usuarios que no son administradores del sitio no alcanzan estas rutas; ahora los…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 18
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
Gitea
hasta antes de 28.3.0
Qué hacer
- Verificá si usás Gitea y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.5 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioNinguna
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadNinguna
Descripción original
The `/api/v1/admin` route group did not enforce the `public-only` restriction of personal access tokens. A public-only token with admin scope issued by a site administrator could therefore list private organizations and the email addresses of all users, create organizations, obtain runner registration tokens and create new site administrator accounts, the last of which persists after the token is revoked. Tokens of users who are not site administrators cannot reach these routes; public-only tokens are now rejected on the admin API.
Referencias (5)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.