Gitea: Umgehung der Genehmigung für Fork-Pull-Request-Workflows durch Abbrechen und erneutes Ausführen
Zusammenfassung
Gitea Actions blockiert Workflow-Läufe von Erstbeitragenden über Fork-Pull-Requests, bis ein Maintainer sie genehmigt. Der Pfad für das erneute Ausführen ignorierte diese ausstehende Genehmigung. Ein Benutzer mit Actions-Schreibrechten, der einen solchen Lauf abbrach und erneut ausführte, konnte dadurch bewirken, dass der Workflow-Code des Forks ohne Genehmigung auf den Runnern des Repositories läuft. Voraussetzung ist, dass Actions aktiviert ist und für das Repository ein passender Self-hosted-Runner registriert ist.
Betroffen
- Gitea 0 bis 1.27.3 (inklusive)
Behoben in
- Gitea 28.0.0 (Korrektur in Pull-Request #39399)
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
- Das Advisory beschreibt einen End-to-End-Proof-of-Concept auf Gitea 1.27.3 mit act_runner.
- Es sind keine Berichte über eine Ausnutzung in freier Wildbahn bekannt.
Unsere Empfehlung
- Auf Gitea 28.0.0 oder neuer aktualisieren, vorzugsweise auf die neueste 28.x-Version, nach einem Backup.
- Actions-Schreibrechte auf vertrauenswürdige Benutzer beschränken und Ereignisse zum Abbrechen und erneuten Ausführen von Fork-Pull-Request-Läufen prüfen.
- Fork-Pull-Request-Prüfungen, die auf eine Genehmigung warten, nicht erneut ausführen.
- Prüfen, ob Self-hosted-Runner verwendet werden, und diese von Geheimnissen und sensiblen Netzwerken fernhalten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GHSA-pvjf-7jrm-6w9g Security Advisory github.com
- Pull request #39399: fix(actions): harden fork pull request run approval github.com
- Gitea 28.0.0 release github.com
- Gitea 28.0.0 release announcement blog.gitea.com
- OSV BIT-gitea-2026-104632 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 21:41.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.