CVE-2026-120263

Gitea OAuth2 account auto-linking takeover through the sign-up form

Публикация: 01.11.2026·Обновлена: 01.11.2026, 13:18·Europe/Moscow

Что произошло

Автоперевод выключен · оригинальное описание

When `[oauth2_client].ACCOUNT_LINKING` is set to `auto` (not the default) and registration is enabled, the link-account sign-up form looked up the existing account to link by the user name or email submitted in the form instead of the identity asserted by the OAuth2 provider. An attacker with an account on a configured OAuth2 provider could submit another user's name, link their external identity to that Gitea account and be signed in as it without its password, including as an administrator. The link persisted for later sign-ins. Automatic linking now only happens when the existing account matches the provider's email or provider-derived user name; otherwise the account password is required.

Что это значит

Проверка личности пользователя может работать неверно. Проверьте затронутый механизм входа и доступные ему ресурсы.

Что делать

Редакционные пояснения, сведения источников и общие рекомендации помечены отдельно

Плановое окно после оценки применимости

1. Проверьте, затронуты ли вы

Соберите инвентаризацию и сравните с таблицей затронутых версий. Эти команды только показывают установленные компоненты и сами по себе не доказывают наличие CVE.

Debian / Ubuntu

dpkg-query -W -f='${Package}	${Version}\n'

RHEL / AlmaLinux

rpm -qa --qf '%{NAME}\t%{VERSION}-%{RELEASE}\n'

Windows PowerShell

Get-HotFix | Select-Object HotFixID, InstalledOn

Общая рекомендация, не из бюллетеня вендора

2. Установите исправление

Сверьте точный продукт и версию с бюллетенем вендора. Установите указанное в нём исправление после резервного копирования и проверки совместимости. Подтверждённая целевая версия в источниках отсутствует.

Общая рекомендация, не из бюллетеня вендора

3. Временные меры

До проверки бюллетеня ограничьте доступ к затронутому компоненту доверенными узлами. Оцените сегментацию и отключение ненужных интерфейсов с владельцем сервиса; универсального правила WAF для этой CVE не подтверждено.

Общая рекомендация, не из бюллетеня вендора

4. Проверьте следы эксплуатации

Проверьте аномальные входы, новые учётные записи, ошибки и необычные дочерние процессы в затронутом сервисе. Публичные проверенные правила обнаружения не включены в запись; отсутствие сигналов не доказывает отсутствие компрометации.

Общая рекомендация, не из бюллетеня вендора

5. После исправления

Проверьте фактическую версию и результат установки по бюллетеню.
При необходимости перезапустите сервисы в согласованное окно.
Повторите проверку сканером и функциональные проверки.
Зафиксируйте результат, дату, владельца и оставшийся риск.

Продукты и затронутые версии

Gitea / Gitea

{
  "status": "affected",
  "version": "0",
  "lessThan": "28.3.0",
  "versionType": "semver"
}

CVSS: оценки и векторы

Оценка CVSS отсутствует.

Классы CWE

CWE-287 · Некорректная аутентификация CWE-639 · Обход авторизации через управляемый пользователем идентификатор

Источники и ссылки

Бюллетень вендора · github.com · cve Исправление · github.com · cve Исправление · github.com · cve Материал · blog.gitea.com · cve Материал · github.com · cve CVE Program · www.cve.org · CVE Program NVD · nvd.nist.gov · NVD

Происхождение полей

{
  "cwes": [
    "cve",
    "nvd"
  ],
  "epss": {
    "source": "epss",
    "received_at": "2026-11-03T21:12:07.169333+00:00"
  },
  "title": {
    "source": "cve",
    "received_at": "2026-11-01T21:01:46.949198+00:00"
  },
  "scores": [],
  "status": {
    "source": "cve",
    "received_at": "2026-11-01T21:01:46.949198+00:00"
  },
  "affected": [
    "cve"
  ],
  "published": {
    "source": "cve",
    "received_at": "2026-11-01T21:01:46.949198+00:00"
  },
  "solutions": [],
  "percentile": {
    "source": "epss",
    "received_at": "2026-11-03T21:12:07.169333+00:00"
  },
  "references": [
    "cve",
    "nvd"
  ],
  "description": {
    "source": "cve",
    "received_at": "2026-11-01T21:01:46.949198+00:00"
  },
  "workarounds": [],
  "configurations": []
}

Хронология записи

Данные обновлены04.11.2026, 00:12
Данные обновлены03.11.2026, 00:15
Данные обновлены02.11.2026, 00:10
Появились сведения об исправлении02.11.2026, 00:01

Личная заметка и статус

Другие CVE того же продукта

УЯЗВИМОСТЬ / ПРОДУКТ	ПРИОРИТЕТ	CVSS	EPSS	СИГНАЛЫ	ОПУБЛИКОВАНА
CVE-2025-68939 Gitea allows attackers to add attachments with forbidden file extensions Gitea / Gitea · code.gitea.io/gitea	Высокий	8.2	0,33 %	Патч	26.12.2025
CVE-2026-109553 Gitea SSH certificate principal impersonation of other users Gitea / Gitea	Высокий	7.5	0,18 %	Патч	18.10.2026
CVE-2026-116296 Gitea archived repository release, milestone and label modification Gitea / Gitea	Информационный	—	0,27 %	Патч	01.11.2026
CVE-2026-119627 Gitea limited-visibility profile disclosure with public-only tokens Gitea / Gitea	Информационный	—	0,2 %	Патч	01.11.2026
CVE-2026-119625 Gitea user and organization feed token scope bypass Gitea / Gitea	Информационный	—	0,19 %	Патч	01.11.2026