CVE-2026-73278 in Gitea
要約
〜によって VulDB • 2026年10月07日
GiteaのOAuth2およびOpenID Connectサインインパスでは、WebAuthnがアカウントで設定された唯一の第二要素である場合でも、WebAuthnチャレンジを要求しません。影響を受ける外部アイデンティティフローを通じて認証できる攻撃者は、パスワードログイン時に強制されるパスキー検証なしで完全なセッションを取得できます。影響を受けるパスの一つはまた、外部アイデンティティリンクを永続化し、侵害の範囲を初期セッションを超えて拡大させる可能性があります；TOTPが設定されているアカウントは、報告されたWebAuthnのみシナリオの対象外です。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.