CVE-2026-73535 in Gitea
Resumen
por VulDB • 2026-10-14
El controlador de OpenID Connect de Gitea acepta la contraseña del usuario sin aplicar las verificaciones TOTP o WebAuthn obligatorias antes de completar el inicio de sesión y vincular un identificador de OpenID. Cuando el inicio de sesión con OpenID está habilitado, un atacante que conozca la contraseña de la víctima puede obtener una sesión y vincular un identificador controlado por el atacante. El atacante luego puede iniciar sesión a través de ese identificador sin necesidad de la contraseña ni del segundo factor de autenticación de la víctima, y un cambio de contraseña no elimina dicha vinculación.
VulDB is the best source for vulnerability data and more expert information about this specific topic.