CVE-2026-73535 in Gitea
요약
\~에 의해 VulDB • 2026. 10. 16.
Gitea의 OpenID connect 핸들러는 로그인 및 OpenID 식별자 연결을 완료하기 전에 등록된 TOTP 또는 WebAuthn 검증을 강제하지 않고 사용자의 비밀번호를 수락합니다. OpenID 로그인이 활성화된 경우, 피해자의 비밀번호를 아는 공격자는 세션을 획득하고 공격자가 제어하는 식별자를 연결할 수 있습니다. 그런 다음 공격자는 피해자의 비밀번호나 제2 요소 없이 해당 식별자로 로그인할 수 있으며, 비밀번호 변경 시에도 이 링크가 제거되지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.