CVE-2026-94205
KritikTeknik Veri (Otomatik)
- CVSS Skoru
- 9.8
- EPSS
- 0.3%
- CWE
- CWE-441
- KEV Durumu
- Hayır
Yayım tarihi: 6 Ekim 2026
Etkilenen: gitea gitea
Gitea Actions, bir çatal çekme isteği çalıştırmasının onay gerektirip gerektirmediğine, olayı tetikleyen kullanıcıya göre değil, çekme isteği yazarına göre karar veriyordu. Bir bakım yöneticisi tarafından normal triaj sırasında gerçekleştirilen bir eylemle, örneğin bir etiket eklemeyle tetiklenen `pull_request` etkinliği için, çalıştırma onay gerektirmeden oluşturuluyordu, ancak iş akışı tanımı hala çatal başından alınıyordu. Eylemler etkinse ve eşleşen bir çalıştırıcı kaydedilmişse, çatal tarafından kontrol edilen iş akışı kodu, açık bir onay olmadan temel depo çalıştırıcılarında çalışabilirdi.
Orijinal açıklama (İngilizce)
Gitea Actions decided whether a fork pull request run needed approval based on the user who triggered the event rather than the pull request author. For `pull_request` activity triggered by a maintainer during ordinary triage, such as adding a label, the run was created without requiring approval, while the workflow definition was still taken from the fork head. Where Actions is enabled and a matching runner is registered, fork-controlled workflow code could run on the base repository's runners without an explicit approval.
Referanslar
Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.