CVE-2026-73535
Publiée le 2026-10-14 · Dernière modification le 2026-10-18
Gitea est un service Git auto-hébergé utilisé pour la gestion du code source et les collaborations. La faille se trouve dans le gestionnaire de connexion OpenID Connect (OIDC), qui n'exige pas l'authentification à deux facteurs (TOTP ou WebAuthn) lorsqu'un utilisateur fournit un mot de passe valide. Cela permet au système de lier une identité OIDC externe à un compte sans vérifier les jetons de sécurité enregistrés de l'utilisateur.
Un attaquant connaissant le mot de passe d'un utilisateur peut obtenir un accès complet à ce compte et le lier à un identifiant OIDC externe qu'il contrôle. Une fois le lien établi, l'attaquant peut se connecter via OIDC indéfiniment, contournant ainsi le mot de passe et toute authentification à deux facteurs configurée. Cette attaque est facile à exécuter via un réseau et entraîne une perte totale de confidentialité, d'intégrité et de disponibilité pour le compte compromis.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Gitea's OpenID connect handler accepts a user's password without enforcing enrolled TOTP or WebAuthn verification before completing sign-in and linking an OpenID identifier. When OpenID sign-in is enabled, an attacker who knows the victim's password can obtain a session and link an attacker-controlled identifier. The attacker can then sign in through that identifier without the victim's password or second factor, and a password change does not remove the link.