Gitea: Umgehung der Freigabe von Fork-Workflows über Pull-Request-Review-Ereignisse
Zusammenfassung
Gitea hängt bei Review-Kommentaren sowie bei Genehmigung oder Ablehnung von Reviews keinen Pull Request an die Actions-Benachrichtigung an. Dadurch greift die Freigabeprüfung für Workflows aus Fork-Pull-Requests nicht, und Workflow-Code aus dem Fork-Head läuft ohne Freigabe durch einen Maintainer auf den Runnern des Basis-Repositorys. Ein Angreifer mit einem Konto mit niedrigen Berechtigungen, das Review-Ereignisse auslösen kann, kann so Fork-kontrollierten Code über die vorgesehene Freigabegrenze hinaus ausführen und potenziell Secrets und Tokens offenlegen.
Betroffen
- Gitea 1.20.0 bis 1.27.1 (gemäss CNA-Eintrag; untere Grenze anhand der Herstellerinformationen zu prüfen)
Behoben in
- Gitea 1.27.3 (behoben mit den Pull Requests #39005 und #39018)
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der Recherche ist keine Ausnutzung bekannt.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Proof of Concept gefunden; die Suche war nicht abschliessend.
Unsere Empfehlung
- Gitea so rasch wie möglich auf 1.27.3 oder neuer aktualisieren.
- Bis zur Aktualisierung festlegen, wer Reviews oder Kommentare zu Pull Requests abgeben darf, und für Actions-Läufe externer Mitwirkender eine Freigabe verlangen.
- Einschränken, welche Runner Jobs des Basis-Repositorys ausführen dürfen, insbesondere selbst betriebene Runner.
- Secrets prüfen, die für Actions-Workflows verfügbar sind, und bei Verdacht auf Missbrauch rotieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Gitea 1.27.3 is released blog.gitea.com
- Pull Request #39005: fix(actions): enforce fork pull request trust boundaries github.com
- Pull Request #39018 github.com
- Gitea v1.27.3 release github.com
- GHSA-7w2r-xwp6-mh6c github.com
- OSV: CVE-2026-71184 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:51.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.