CVE-2026-116474
>_ Opis
Tłumaczenie automatyczne – może zawierać nieścisłości.
`GITEA_TOKEN` zadania Gitea Actions uwierzytelnia się jako użytkownik systemu `gitea-actions`, a punkty końcowe `/api/v1/user` poczty e-mail i klucza GPG zaakceptowały tego użytkownika, więc zadanie mogło zarejestrować na nim adres e-mail i klucz GPG; bez wymaganego potwierdzenia e-mailem (domyślnie) adres zostanie zapisany jako aktywny. Weryfikacja zatwierdzeń traktuje klucz bez prawdziwego właściciela jako klucz podpisywania instancji, więc każdy użytkownik, który może uruchomić zadanie przepływu pracy, może sprawić, że zatwierdzenia podpisane jego własnym kluczem będą wyświetlane jako zaufane i podpisane przez instancję w każdym repozytorium, w którym się pojawią, łącznie z żądaniami ściągnięcia do repozytoriów, w których użytkownik nie może pisać. Wpływ jest ograniczony do wyświetlanego statusu podpisu: egzekwowanie, takie jak wymagane podpisane zatwierdzenia, sprawdza jedynie, czy podpis został zweryfikowany i czy nie ma to na niego wpływu, oraz czy nie jest uzyskiwany dostęp. Trasy `/api/v1/user` odrzucają teraz użytkowników systemowych.
>_ Słabości (CWE)
>_ Referencje
Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.
This product uses the NVD API but is not endorsed or certified by the NVD.
Copyright © 1999–2026, The MITRE Corporation. CVE is a registered trademark and the CVE logo is a registered trademark of The MITRE Corporation.
CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.
NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org