CVE-2026-73535 in Gitea
Zusammenfassung
von VulDB • 15.10.2026
Der OpenID-Connect-Handler von Gitea akzeptiert das Passwort eines Benutzers, ohne eine erfasste TOTP- oder WebAuthn-Bestätigung vor Abschluss der Anmeldung und Verknüpfung einer OpenID-ID zu erzwingen. Wenn die OpenID-Anmeldung aktiviert ist, kann ein Angreifer, der das Passwort des Opfers kennt, eine Sitzung erhalten und eine vom Angreifer kontrollierte ID verknüpfen. Der Angreifer kann sich dann über diese ID anmelden, ohne das Passwort oder den zweiten Faktor des Opfers zu benötigen, und eine Passwortänderung entfernt die Verknüpfung nicht.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.