CVE-2026-20779
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 38 - wyżej niż 38% wszystkich znanych CVE
Streszczenie
Podatność w Gitea w wersjach od 1.5.0 do 1.26.2 pozwala na wielokrotne użycie tego samego kodu TOTP w procesie uwierzytelniania dwuskładnikowego przez web oraz Basic Auth z nagłówkiem X-Gitea-OTP.
Ocena ryzyka
Atakujący może przechwycić ważny kod TOTP i użyć go wielokrotnie, co umożliwia nieautoryzowany dostęp do kont użytkowników pomimo włączonego uwierzytelniania dwuskładnikowego.
Rekomendacja
Należy niezwłocznie zaktualizować Gitea do wersji 1.26.3 lub nowszej, która usuwa tę podatność.
Inne podatności w Gitea
Zobacz wszystkie- CVE-2026-60004KrytyczneAktywnie exploitowane
Gitea przed wersją 1.27.1 umożliwia zdalne wykonanie kodu poprzez API diffpatch przez instalację hooków Git.
- CVE-2026-58508Krytyczne
Dwie podatności SSRF w migracji/mirrorowaniu Gitea (DNS rebinding + brak ponownej walidacji).
- CVE-2026-58443Krytyczne
Tokeny repozytorium tylko do odczytu mogą aktualizować prywatne gałęzie head PR.
- CVE-2026-58433Krytyczne
Endpoint łączący repozytorium z zespołem omija ustawienie organizacji RepoAdminChangeTeamAccess. Oznacza to, że użytkownik bez odpowiednich uprawnień może zmienić przypisanie repozytorium do zespołu.
- CVE-2026-56750Krytyczne
Kradzież tokena „Remember-Me” w Gitea nie unieważnia sesji atakującego, co pozwala na dalszy nieautoryzowany dostęp.
- CVE-2026-56654Krytyczne
Podatność umożliwia eskalację uprawnień poprzez rozszerzenie zakresu tokena dostępu w API.
- CVE-2026-56443Krytyczne
Token o zakresie public-only może ominąć ograniczenia dla właścicieli o ograniczonej widoczności (kategorie Repozytorium i Pakiet) — pozostałość po CVE-2026-25714 / PR #37118.
- CVE-2026-55982Krytyczne
Endpoint userinfo w OIDC zwraca dane tożsamości bez egzekwowania zakresów tokenów API.
- CVE-2026-58426Krytyczne
Podatność w Gitea Actions Artifacts V4 wynika z niejednoznaczności HMAC w podpisanych URL-ach, co umożliwia odczyt artefaktów z innego repozytorium oraz zapis stanu przesyłania między zadaniami.
- CVE-2026-27780Krytyczne
Podatność w Gitea przed wersją 1.26.0 polega na tym, że podczas przetwarzania wejścia z hooka pre-receive nie następuje zamknięcie połączenia w przypadku błędów bufio.Scanner. Umożliwia to przesłanie zbyt dużego wejścia, które omija sprawdzanie ochrony gałęzi.
Oryginalny opis (angielski, źródło NVD)
Gitea versions from 1.5.0 before 1.26.3 have a TOTP single-use enforcement defect that allows a valid TOTP code to be accepted more than once across web two-factor authentication flows and the Basic Auth X-Gitea-OTP path.