CVE-2026-116289— Gitea Actions 注册绕过仅公开 Token 漏洞
一分钟漏洞结论
影响对象
Gitea Gitea
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Gitea 未拒绝在组织 Actions 运行器注册令牌（registration-token）端点上使用仅限公开资源（ ）的个人访问令牌。因此，使用该令牌注册的运行器并未被限制为仅能访问公开仓库。攻击者若持有仅具备 权限、且属于某个公开组织所有者的此类受限令牌，即可注册组织级别的运行器，并接收该组织已启用 Actions 的私有仓库的作业。这些作业内容包括工作流内容、Actions 密钥（secrets）和变量，以及可访问私有仓库的任务令牌（task token）。该问题扩大了受限令牌的可达范围，但并未赋予超出该
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-116289 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Gitea public-only token bypass through Actions runner registration
来源: CVE Program / CVE List V5
Vulnerability Description
Gitea did not reject personal access tokens restricted to public resources (`public-only`) on the organization Actions runner registration-token endpoint, and the runner registered with the resulting token was not limited to public repositories. Holding only such a token with `write:organization` that belongs to an owner of a public organization, an attacker could register an organization-level runner and receive jobs of the organization's private repositories that have Actions enabled, including the workflow content, Actions secrets and variables, and a task token with access to the private repository. The issue widens what the restricted token can reach; it gives nothing beyond what the owner's full account can already do.
来源: CVE Program / CVE List V5
CVSS Information
N/A
来源: CVE Program / CVE List V5
Vulnerability Type
授权机制不正确
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-116289 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-116289 的情报信息
请登录查看更多情报信息。
CVE-2026-116289 其他参考 (5)
-
https://github.com/go-gitea/gitea/releases/tag/v28.3.0 release-notes
-
https://blog.gitea.com/release-of-28.3.0/ release-notes
同批安全公告 · Gitea · 2026-11-01 · 共 20 条
| CVE-2026-117649 | Gitea 通过依赖时间线事件泄露私有问题 | |
| CVE-2026-118386 | Gitea Actions 拉取请求审查工作流信任漏洞 | |
| CVE-2026-120263 | Gitea OAuth2 账号自动关联接管漏洞 | |
| CVE-2026-112887 | Gitea Actions 私有仓库枚举漏洞 | |
| CVE-2026-113429 | Gitea Actions 存储型跨站脚本漏洞 | |
| CVE-2026-114199 | Gitea 贡献热力图私活动向公开令牌披露漏洞 | |
| CVE-2026-116296 | Gitea 归档仓库修改漏洞 | |
| CVE-2026-116474 | Gitea Actions 实例签名提交令牌伪造漏洞 | |
| CVE-2026-117635 | Gitea 管理 API 公开令牌范围绕过漏洞 | |
| CVE-2026-117646 | Gitea 个人资料页面私有仓库列表泄露漏洞 | |
| CVE-2026-119627 | Gitea 公开令牌泄露受限个人资料漏洞 | |
| CVE-2026-117677 | Gitea Helm chart 上传解压拒绝服务漏洞 | |
| CVE-2026-117685 | Gitea 私有 OCI 包令牌越权访问漏洞 | |
| CVE-2026-118394 | Gitea 公开令牌泄露私有群组信息漏洞 | |
| CVE-2026-118395 | Gitea 仓库与组织创建公开令牌绕过漏洞 | |
| CVE-2026-118504 | Gitea 归档仓库 API 可修改 issue 漏洞 | |
| CVE-2026-119441 | Gitea 批量删除组织仓库时公开令牌绕过漏洞 | |
| CVE-2026-119533 | Gitea 项目看板私有拉取请求泄露漏洞 | |
| CVE-2026-119625 | Gitea 用户与组织 feed token 范围绕过漏洞 |