Gitea: Cross-Site Request Forgery bei Repository-Topics
Zusammenfassung
Gitea bis einschliesslich 28.1.0 wendet keinen Cross-Origin-Schutz auf den Endpunkt POST /{owner}/{repo}/topics an. Eine Drittseite kann dadurch eine Anfrage senden, die die Topics eines Repositories im Namen eines angemeldeten Repository-Administrators ändert, sofern dieser die manipulierte Seite besucht. Laut Hersteller lassen sich über diesen Pfad keine weiteren Repository-Einstellungen ändern.
Betroffen
- Gitea 0 bis 28.1.0
Behoben in
- Gitea 28.2.0 (behoben mit #39839 / #39847)
Umgehung
- Keine Workaround-Massnahme vom Hersteller dokumentiert.
Ausnutzung
- Keine bekannte Ausnutzung.
- CISA SSVC: Exploitation none, nicht automatisierbar.
- Benötigt Benutzerinteraktion: Ein angemeldeter Repository-Administrator muss eine vom Angreifer kontrollierte Seite besuchen.
Unsere Empfehlung
- Gitea auf 28.2.0 oder neuer aktualisieren, zusammen mit den übrigen Sicherheitsfixes dieses Releases.
- Repository-Administratorrechte auf die nötigen Benutzer beschränken.
- Administratoren anweisen, während der Anmeldung bei Gitea keine unbekannten Websites zu besuchen.
- Topics wichtiger Repositories auf unerwartete Änderungen prüfen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Gitea 28.2.0 is released (vendor blog) blog.gitea.com
- Pull Request #39839: add missing checks to several handlers and models github.com
- Pull Request #39847 github.com
- Gitea v28.2.0 release github.com
- GHSA-4jmf-h2cm-hg7w security advisory github.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 18:45.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.