CVE-2026-73535 in Gitea
要約
〜によって VulDB • 2026年10月14日
GiteaのOpenID Connectハンドラは、サインインとOpenID識別子のリンクを完了する前に登録されたTOTPまたはWebAuthn認証を強制せずに、ユーザーのパスワードを受け入れます。OpenIDサインインが有効になっている場合、被害者のパスワードを知っている攻撃者はセッションを取得し、攻撃者が制御する識別子をリンクできます。その後、攻撃者は被害者のパスワードや第二要素なしでその識別子を通じてサインインでき、パスワードの変更でもこのリンクは解除されません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.