CVE-2026-73535

Nome do Software Vulnerável e Versões Afetadas Gitea (versões afetadas não especificadas)

Descrição O manipulador de conexão OpenID aceita a senha de um usuário sem exigir a verificação de TOTP (Senha de Uso Único Baseada em Tempo) ou WebAuthn cadastrados antes de concluir o login e vincular um identificador OpenID. Quando o login OpenID está habilitado, um invasor que conheça a senha da vítima pode obter uma sessão e vincular um identificador controlado pelo invasor. O invasor pode então fazer login por meio desse identificador sem a senha da vítima ou o segundo fator de autenticação, e a alteração da senha não remove o vínculo.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.