CVE-2026-104627
Təsvir
Təhlükəsizlik parametrlərindəki Gitea OpenID assosiasiya geri çağırışı (callback), daxil olmuş istifadəçinin əlaqələndirmə prosesini başlatdığını yoxlamadan müsbət OpenID 2.0 təsdiqini qəbul edirdi. OpenID 2.0 istənilməmiş təsdiqlərə icazə verdiyi üçün hücumçu tərəfindən idarə olunan OpenID provayderi, xüsusi hazırlanmış linki açan daxil olmuş qurbanın hesabına hücumçunun kimliyini əlavə edə bilərdi və daha sonra hücumçu yerli TOTP və ya WebAuthn yoxlamalarının tətbiq edilmədiyi OpenID giriş vasitəsilə qurban kimi sistemə daxil ola bilərdi. Artıq geri çağırış istifadəçiyə bağlı olan vaxtla məhdudlaşdırılmış `state` dəyərini tələb edir.
Necə düzəltmək olar
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Gitea Gitea | v ≤ 28.1.0 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.