Gitea 28.3.0 corrige une prise de contrôle de compte via OAuth2
La faille CVE-2026-120263, découverte par le modèle Claude d'Anthropic et validée par Doyensec, ne touche que les installations en liaison automatique.
Gitea a publié le 1er novembre 2026 la version 28.3.0, qui corrige plusieurs problèmes de sécurité, dont CVE-2026-120263, et recommande aux utilisateurs de mettre à jour rapidement, selon dailysecu.com.
La faille CVE-2026-120263 permet à un attaquant de rattacher son propre compte de connexion externe à un compte Gitea existant sans connaître le mot de passe de la victime, ce qui aboutit à une prise de contrôle du compte. Elle ne concerne que les installations où « ACCOUNT_LINKING = auto » est activé et où l'enregistrement de nouveaux utilisateurs est autorisé ; le réglage par défaut vérifie le mot de passe du compte existant.
D'après l'avis officiel, la faille a été trouvée par Claude, le modèle d'IA d'Anthropic, puis validée par les chercheurs de Doyensec en coopération avec la recherche d'Anthropic.
La mise à jour corrige aussi CVE-2026-113429, une faille XSS stockée dans le téléchargement d'artefacts depuis Gitea Actions, qui peut exécuter un script malveillant dans le contexte de sécurité de Gitea. CVE-2026-112887 permet quant à elle à des jetons émis pour des tâches d'automatisation de lister d'autres dépôts privés du serveur, révélant leur existence et des informations associées, mais pas le contenu des fichiers.
En bref
Quelle version de Gitea corrige CVE-2026-120263 ?
La version 28.3.0, publiée le 1er novembre 2026.
Qui a découvert CVE-2026-120263 ?
Le modèle d'IA Claude d'Anthropic, avec une validation par les chercheurs de Doyensec.
Toutes les installations Gitea sont-elles concernées par la prise de contrôle de compte ?
Non : seules celles où « ACCOUNT_LINKING = auto » est actif et où l'enregistrement de nouveaux utilisateurs est autorisé.