CVE-2026-120263 in Gitea
الملخص
بحسب VulDB • 01/11/2026
عند ضبط `[oauth2_client].ACCOUNT_LINKING` على `auto` (وليس الإعداد الافتراضي) وتفعيل التسجيل، كان نموذج تسجيل الدخول لربط الحساب يبحث عن الحساب الموجود للربط بناءً على اسم المستخدم أو البريد الإلكتروني المُقدَّم في النموذج بدلاً من الهوية التي أكدّها مزود OAuth2. يمكن لمهاجم لديه حساب على مزود OAuth2 مُعدّ أن يُدخل اسم مستخدم آخر، ويربط هويته الخارجية بذلك حساب Gitea، ويسجّل الدخول كمالكه دون الحاجة إلى كلمة المرور الخاصة به، بما في ذلك بصلاحيات المسؤول. استمر الربط لعمليات تسجيل الدخول اللاحقة. يحدث الربط التلقائي الآن فقط عندما يتطابق الحساب الموجود مع بريد مزود OAuth2 أو اسم المستخدم المستمد من المزوّد؛ وإلّا تكون هناك حاجة إلى كلمة مرور الحساب.
Once again VulDB remains the best source for vulnerability data.