Gitea: Wiederbelebung abgebrochener Fork-Pull-Request-Workflow-Jobs durch spätere Freigabe
Zusammenfassung
Ein registrierter Benutzer, der einen Pull Request aus einem Fork eröffnen kann, kann Workflow-Inhalte in einen auf Freigabe wartenden Gitea-Actions-Lauf einschleusen und den blockierten Job über eine gemeinsame Concurrency-Gruppe auf Lauf-Ebene abbrechen. Gibt ein Maintainer den Lauf später frei, setzt Gitea den bereits abgebrochenen Job wieder auf wartend, und ein passender Runner führt den vom Fork kontrollierten Workflow-Code aus. Für die Ausnutzung sind die spätere Freigabe durch den Maintainer, aktivierte Actions und ein Runner, der die Jobs des Repositorys annimmt, erforderlich.
Betroffen
- Gitea bis und mit 1.27.3 (gemäss CNA-Eintrag; der Herstellerhinweis nennt v1.26.0 als früheste verifizierte betroffene Version)
Behoben in
- Gitea 28.0.0 (gemäss Herstellerhinweis und Release-Referenzen)
Umgehung
Unbekannt.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Gitea auf das neueste 28.x-Release aktualisieren, mindestens auf 28.0.0.
- Bis zur Aktualisierung die Freigaberechte für Actions-Läufe einschränken und Läufe aus Fork-Pull-Requests vor der Freigabe prüfen.
- Actions auf Repositorys deaktivieren, die sie nicht benötigen, und Runner auf vertrauenswürdige Repositorys beschränken.
- Self-hosted Runner von sensiblen internen Netzen und Geheimnissen fernhalten und möglichst ephemere Runner verwenden.
- Prüfen, ob die Instanz Fork-Pull-Requests externer Benutzer akzeptiert und ob Self-hosted Runner im Einsatz sind.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GHSA-93pj-3x56-5gc2 Security Advisory github.com
- Fix PR #39399: harden fork pull request run approval github.com
- Gitea 28.0.0 release notes blog.gitea.com
- Gitea v28.0.0 release tag github.com
- OSV entry CVE-2026-104626 osv.dev
- OpenCVE CVE-2026-104626 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:40.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.