Gitea: Umgehung der Freigabe für Workflows aus Fork-Pull-Requests in Gitea Actions

Zusammenfassung

Gitea Actions entscheidet, ob ein Workflow-Lauf aus einem Fork-Pull-Request eine Freigabe benötigt, anhand des auslösenden Benutzers statt des Autors des Pull Requests. Löst ein Maintainer während der üblichen Triage ein pull_request-Teilereignis aus, etwa durch das Hinzufügen eines Labels, wird der Lauf ohne Freigabe erstellt, der Workflow stammt aber weiterhin vom Fork-Head. Ein Angreifer mit einem manipulierten Fork-Pull-Request kann so Workflow-Code auf den Self-Hosted Runnern des Basis-Repositorys ausführen, ohne dass eine explizite Freigabe erfolgt, sofern Actions aktiviert ist und ein passender Runner registriert ist.

Betroffen

• Gitea 1.27.3 und frühere Versionen (betroffener Bereich 0 bis <= 1.27.3)

Behoben in

• Gitea 28.0.0 (gemäss GitHub-Advisory und Release-Notes von Gitea 28.0.0; genaue Fix-Version anhand der Herstellerangaben zu bestätigen)

Umgehung

Unbekannt.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total
• Zum Zeitpunkt der Erstellung keine öffentliche Ausnutzung oder bekannte Ausnutzung in freier Wildbahn gemeldet
• Ein Proof of Concept wird in der Herstelleradvisory beschrieben; nicht unabhängig verifiziert

Unsere Empfehlung

• Gitea auf 28.0.0 oder eine neuere 28.x-Version aktualisieren
• Bis zur Aktualisierung keine Workflows aus Fork-Pull-Requests auf Self-Hosted Runnern ausführen und den Runner-Geltungsbereich auf vertrauenswürdige Repositorys beschränken
• Festlegen, wer Pull Requests mit Labels versehen oder triagieren darf, sofern Actions aktiv ist
• Nach der Aktualisierung Läufe prüfen, die während des Expositionszeitraums aus Fork-Pull-Requests erstellt wurden

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub Security Advisory GHSA-xh39-mxw9-34pp github.com
• Gitea 28.0.0 release announcement blog.gitea.com
• Gitea v28.0.0 release github.com
• Pull request #39399: fix(actions): harden fork pull request run approval github.com
• OSV entry CVE-2026-94205 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 20:54.