Gitea Actions: Umgehung der Fork-Pull-Request-Genehmigung durch Abbruch der Job-Parallelität
Zusammenfassung
Gitea Actions erzwingt die Genehmigungspflicht für Workflow-Läufe von Erstbeitragenden über Forks nicht konsistent. Ein separater Lauf mit einer gemeinsamen Job-Parallelitätsgruppe kann einen wartenden Job abbrechen, wodurch blockierte Jobs ohne Genehmigung gestartet werden. Ein Angreifer, der einen Pull Request öffnen kann, könnte so ungeprüften Workflow-Code auf selbst gehosteten Runnern ausführen. Fork-Geheimnisse bleiben zurückgehalten und das Run-Token bleibt schreibgeschützt.
Betroffen
- Gitea-Versionen 0 bis 1.27.2 (Angaben des CNA; Standard: nicht betroffen)
Behoben in
- Gitea 1.27.3 (behoben durch #39005 und #39018)
Umgehung
Unbekannt.
Ausnutzung
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total
- Kein öffentlicher Exploit und keine Ausnutzung in freier Wildbahn bekannt
Unsere Empfehlung
- Gitea auf 1.27.3 oder neuer aktualisieren
- Bis zur Aktualisierung Actions dort deaktivieren, wo sie nicht benötigt werden, und selbst gehostete Runner nicht zwischen ungeprüften Pull-Request-Workflows und Deployment-Workloads teilen
- Genehmigung für alle Fork-Pull-Requests verlangen und Logs der selbst gehosteten Runner auf unerwartete Jobs prüfen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Gitea 1.27.3 is released blog.gitea.com
- Pull Request #39005 github.com
- Pull Request #39018 github.com
- Gitea v1.27.3 release github.com
- GHSA-v2w8-m4gr-qj65 github.com
- OSV CVE-2026-66877 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:07.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.