Gitea: WebAuthn-Umgehung der zweiten Faktor-Prüfung bei OAuth2- und OpenID-Connect-Anmeldung
Zusammenfassung
Gitea-Versionen 1.16.0 bis einschliesslich 1.27.1 erzwingen bei der Anmeldung über OAuth2 und OpenID Connect keine WebAuthn-Abfrage, wenn WebAuthn der einzige zweite Faktor des Kontos ist (kein TOTP). Ein Angreifer, der sich über den betroffenen externen Identitätsablauf authentifizieren kann, erhält eine vollständige Sitzung ohne die Passkey-Prüfung, die bei der Passwort-Anmeldung gilt. Beim Konto-Verknüpfungspfad kann der Angreifer zudem seine externe Identität dauerhaft mit dem Gitea-Konto des Opfers verknüpfen, sodass der Zugriff auch nach einer Passwortänderung bestehen bleiben kann.
Betroffen
- Gitea 1.16.0 bis einschliesslich 1.27.1
- Nur Konten mit WebAuthn als einzigem zweiten Faktor (kein TOTP) und aktivierter OAuth2-/OpenID-Connect-Anmeldung
- Standardkonfiguration: nicht betroffen
Behoben in
- Gitea 1.27.2 (veröffentlicht am 14. August 2026)
Umgehung
Unbekannt.
Ausnutzung
- Zum Zeitpunkt der geprüften Quellen ist keine Ausnutzung bekannt; CISA SSVC bewertet die Ausnutzung als none und die Automatisierbarkeit als yes.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Gitea so bald wie möglich auf 1.27.2 oder neuer aktualisieren.
- Bis zur Aktualisierung die OAuth2-/OpenID-Connect-Anmeldung deaktivieren, sofern sie nicht benötigt wird.
- Konten prüfen, die nur einen Passkey oder Sicherheitsschlüssel als zweiten Faktor verwenden, und auf unerwartete externe Identitätsverknüpfungen achten.
- Selbst gehostete Instanzen, die aus dem Internet erreichbar sind, in ihrer Exposition einschränken.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Gitea 1.27.2 release notes blog.gitea.com
- Gitea v1.27.2 release github.com
- GitHub Security Advisory GHSA-92j2-6qcg-c28c github.com
- Fix PR #38805 github.com
- Fix PR #38810 github.com
- OSV entry CVE-2026-73278 osv.dev
- Gitea Cloud 1.27.3 release notice about.gitea.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 21:01.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.