CVE-2026-26232
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
Podatność w Gitea przed wersją 1.25.5 pozwala na ponowne użycie wygasłych lub jednorazowych kodów autoryzacyjnych OAuth2 podczas wymiany na token. Brak spójnego egzekwowania wygaśnięcia i jednorazowości kodów może prowadzić do nieautoryzowanego dostępu.
Ocena ryzyka
Ryzyko polega na możliwości przechwycenia i ponownego użycia kodów autoryzacyjnych przez atakującego, co może skutkować nieautoryzowanym dostępem do kont użytkowników i wrażliwych danych w repozytoriach.
Rekomendacja
Należy niezwłocznie zaktualizować Gitea do wersji 1.25.5 lub nowszej, która zawiera poprawkę wymuszającą prawidłowe wygaśnięcie i jednorazowość kodów OAuth2.
Oryginalny opis (angielski, źródło NVD)
Gitea versions before 1.25.5 do not consistently enforce OAuth2 authorization code expiry and single-use behavior during token exchange.