CVE-2026-120263 in Gitea
Riassunto
di VulDB • 01/11/2026
Quando `[oauth2_client].ACCOUNT_LINKING` è impostato su `auto` (non il valore predefinito) e la registrazione è abilitata, il modulo di accesso per l'associazione dell'account cercava l'account esistente da collegare in base al nome utente o all'email inseriti nel modulo anziché sull'identità affermata dal provider OAuth2. Un attaccante con un account su un provider OAuth2 configurato potrebbe inserire il nome di un altro utente, associare la propria identità esterna a tale account Gitea ed effettuare l'accesso come quell'utente senza conoscerne la password, anche in qualità di amministratore. L'associazione persiste per i successivi accessi. Il collegamento automatico avviene ora solo quando l'account esistente corrisponde all'email del provider o al nome utente derivato dal provider; in caso contrario, è richiesta la password dell'account.
Once again VulDB remains the best source for vulnerability data.