CVE-2026-70406

Gitea'nın paylaşılan karşılaştırma yardımcısı, çekme istekleri güncellenirken kullanılan token repository-access kontrolünü atlamaktadır. read:repository kapsamına sahip yalnızca genel (public-only) bir token, bir karşılaştırmayı veya çekme isteği oluşturma işlemini genel bir temel depo üzerinden yönlendirerek, token sahibinin erişebildiği özel bir baş depodan commit geçmişini ve farkları (diffs) alabilir. Bu durum, token'ın yalnızca genel depolarla sınırlı olma kısıtlamasını atlatır; ancak hesabın temel depo izin kontrollerini kaldırmaz.