Gitea: Team-Berechtigungsabstufung per API wird nicht auf Unit-Berechtigungen angewendet

Zusammenfassung

Gitea aktualisiert die Berechtigungen einzelner Units von Organisations-Teams nicht, wenn die Berechtigung eines Teams über die API nur mit dem Feld permission herabgesetzt wird. Nachdem ein Organisations-Owner ein Team zum Beispiel von admin auf read herabgestuft hat, behalten die Mitglieder ihre bisherigen Unit-Berechtigungen, einschliesslich Schreibzugriff auf die Repositories des Teams. Ein Angreifer benötigt dafür ein Konto mit niedrigen Rechten und Mitgliedschaft im Team; das Webformular ist nicht betroffen.

Betroffen

• Gitea 0 bis 1.27.3 gemäss CNA-Eintrag (Standard: nicht betroffen)
• Genauer betroffener Bereich: Unbekannt, muss im GHSA-Advisory bestätigt werden

Behoben in

• Gitea 28.0.0 (Korrektur über Pull Request #38938)
• Die neueste 28.x-Version verwenden

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme.
• Bis zum Update: Teams prüfen, deren Berechtigung per API herabgesetzt wurde, diese in der Weboberfläche neu speichern und die Schreibrechte ihrer Mitglieder prüfen.

Ausnutzung

• Nicht bekannt, ob ausgenutzt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
• Soweit bekannt, nicht im CISA-KEV-Katalog aufgeführt.

Unsere Empfehlung

• Auf Gitea 28.0.0 oder neuer aktualisieren (neueste 28.x-Version empfohlen).
• Bis dahin Teams prüfen, deren Berechtigung per API herabgesetzt wurde, und deren Unit-Berechtigungen vergleichen.
• Betroffene Teams in der Weboberfläche neu speichern und die Schreibrechte ihrer Mitglieder prüfen.
• Teammitgliedschaften regelmässig überprüfen und Owner-Rechte einschränken.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Gitea 28.0.0 release blog blog.gitea.com
• Gitea pull request #38938 github.com
• Gitea v28.0.0 release github.com
• GitHub security advisory GHSA-x8c3-3rp8-2j46 github.com
• OSV entry CVE-2026-103504 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:43.