CVE-2026-120263 in Gitea
Zusammenfassung
von VulDB • 01.11.2026
Wenn `[oauth2_client].ACCOUNT_LINKING` auf `auto` (nicht der Standardwert) eingestellt ist und die Registrierung aktiviert ist, suchte das Anmeldeformular zum Verknüpfen von Konten nach dem zu verknüpfenden bestehenden Konto anhand des im Formular eingegebenen Benutzernamens oder E-Mail-Adressen anstelle der vom OAuth2-Anbieter behaupteten Identität. Ein Angreifer mit einem Konto bei einem konfigurierten OAuth2-Anbieter konnte den Namen eines anderen Benutzers eingeben, seine externe Identität mit diesem Gitea-Konto verknüpfen und sich ohne dessen Passwort als dieses Benutzerkonto anmelden, einschließlich als Administrator. Die Verknüpfung blieb für spätere Anmeldungen bestehen. Das automatische Verknüpfen erfolgt nun nur noch, wenn das bestehende Konto der E-Mail-Adresse des Anbieters oder dem vom Anbieter abgeleiteten Benutzernamen entspricht; andernfalls ist das Passwort des Kontos erforderlich.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.