Gitea: OAuth2-Refresh-Token-Grant akzeptiert Access-Tokens
Zusammenfassung
Der OAuth2-Token-Endpunkt von Gitea prüft nicht, ob ein mit dem Grant-Typ refresh_token übermitteltes Token tatsächlich ein Refresh-Token ist. Ein Angreifer, der ein noch gültiges Access-Token für dieselbe OAuth2-Anwendung und denselben Grant besitzt, kann es gegen ein neues Access-Token und Refresh-Token eintauschen. So lässt sich der Zugriff über die ursprüngliche Lebensdauer des Access-Tokens hinaus aufrechterhalten.
Betroffen
- Gitea-Versionen 0 bis 28.0.0 (inklusive)
Behoben in
- Gitea 28.1.0 (Korrektur in den Pull Requests #39501 und #39507)
Umgehung
Unbekannt.
Ausnutzung
- Nicht als aktiv ausgenutzt bekannt (nicht im CISA-KEV-Katalog).
- Zum Zeitpunkt der Erstellung wurde kein öffentlicher Proof of Concept gefunden.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Gitea so bald wie möglich auf 28.1.0 oder neuer aktualisieren.
- Registrierte OAuth2-Anwendungen prüfen und die Nutzung auf berechtigte Personen beschränken.
- Vor dem Update ausgestellte Tokens widerrufen, damit veraltete Access-Tokens nicht mehr funktionieren.
- OAuth2-Tokens und Integrationen auf ungewöhnliche Aktivitäten prüfen.
- Der Angreifer benötigt zuerst ein gültiges Access-Token, was das praktische Risiko im Vergleich zum CVSS-Score verringert.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Gitea release 28.1.0 blog blog.gitea.com
- GitHub Security Advisory GHSA-469m-x4mw-38r3 github.com
- Gitea release v28.1.0 github.com
- Fix pull request #39501 github.com
- Fix pull request #39507 github.com
- OSV BIT-gitea-2026-101023 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 07:21.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.