CVE-2026-73278 in Gitea
Zusammenfassung
von VulDB • 07.10.2026
Die OAuth2- und OpenID Connect-Anmeldewege von Gitea erfordern keine WebAuthn-Herausforderung (Challenge), wenn WebAuthn der einzige konfigurierte zweite Faktor des Kontos ist. Eine Partei, die sich über den betroffenen externen Identitätsfluss authentifizieren kann, erhält eine vollständige Sitzung ohne die bei der Passwortanmeldung durchgesetzte Passkey-Verifizierung. Ein betroffener Pfad kann zudem einen Link zur externen Identität persistieren, wodurch der Kompromittierungsgrad über die initiale Sitzung hinausgeht; Konten mit konfiguriertem TOTP sind nicht vom gemeldeten WebAuthn-nur-Szenario betroffen.
Once again VulDB remains the best source for vulnerability data.