CVE-2026-73802

GitHubCrítica, go

gitea-runner: container.options do workflow passa namespaces e flags de capacidade do host para o container do job quando o modo privilegiado está desabilitado

Traduzido automaticamente do inglês.

act_runner anexa workflow-controlled jobs.<job>.container.options diretamente ao Docker HostConfig para o container do job. Quando o modo privilegiado do runner está desabilitado, apenas Privileged é forçado como falso. As flags de namespace do host, a expansão de capacidades e as sobreposições de perfil de segurança do YAML do workflow são preservadas no HostConfig final.

Sem exploração conhecida
Gravidade: Crítica, CVSS 9.9 (v3.1)
EPSS: 0,47% de chance de exploração em 30 dias (EPSS, em 23 de out. de 2026)
Pacotes afetados: gitea.com/gitea/runner (go) < 1.0.9-0.20260731160927-34bfa1915022, corrigido em 1.0.9-0.20260731160927-34bfa1915022 · GHSA-x4q3-gcj3-m6cf