CVE-2026-55987

Nome do Software Vulnerável e Versões Afetadas Gitea (versões afetadas não especificadas)

Description Existe um problema no callback de login OAuth2 que permite que uma conta de usuário desativada seja reativada ao fazer login por meio de uma fonte de autenticação que não emite tokens de atualização, como o GitHub ou fontes OIDC/OAuth2 configuradas sem offline access. O sistema utiliza incorretamente um token de atualização vazio como sinal de que a conta foi desativada pelo cron de sincronização automática, em vez de ter sido desativada por um administrador. Consequentemente, quando um usuário desativado faz login através desses provedores, o sistema define IsActive como true e concede uma sessão completa, ignorando a desativação do administrador. Isso afeta a função handleOAuth2SignIn em routers/web/auth/oauth.go. Se a conta desativada possuía privilégios administrativos, esses privilégios também são restaurados. Isso não afeta contas desativadas através do recurso Prohibit Login.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.