Gitea 28.3.0公開、OAuth2乗っ取り脆弱性を修正
CVE-2026-120263は外部ログインを既存アカウントに紐付けられる欠陥。AnthropicのClaudeが発見し、Doyensecが検証した。
オープンソースのコードリポジトリ管理基盤Giteaは2026年11月1日、バージョン28.3.0を公開した。複数のセキュリティ問題を修正したもので、CVE-2026-120263を含む。dailysecu.comが伝えた。利用者には速やかな更新が推奨されている。
CVE-2026-120263はOAuth2のアカウント連携処理における乗っ取りの欠陥だ。攻撃者は被害者のパスワードを知らなくても、自身の外部ログインアカウントを既存のGiteaアカウントに紐付けることができる。
影響を受けるのは「ACCOUNT_LINKING = auto」を有効にし、新規ユーザー登録を許可している環境。既定の設定では既存アカウントのパスワードを検証するため、この条件には当たらない。
Gitea Actions関連の2件も修正
公式アドバイザリによると、この欠陥はAnthropicのAIモデルClaudeが発見し、Doyensecの研究者がAnthropic Researchの協力のもとで検証した。
あわせてCVE-2026-113429も修正された。Gitea Actionsから成果物をダウンロードする際の格納型XSSで、悪意あるスクリプトがGiteaのセキュリティコンテキストで実行される可能性がある。CVE-2026-112887は、自動化ジョブ向けに発行されたトークンがサーバー上の他のプライベートリポジトリを列挙できる問題で、存在や関連情報が露出するがファイル内容は取得できない。
よくある質問
Gitea 28.3.0は何を修正しましたか？
CVE-2026-120263のOAuth2アカウント乗っ取りの欠陥と、Gitea Actions関連のCVE-2026-113429、CVE-2026-112887を含む複数のセキュリティ問題を修正しました。
CVE-2026-120263の影響を受けるのはどのような環境ですか？
「ACCOUNT_LINKING = auto」を有効にし、新規ユーザー登録を許可している環境です。既定の設定では既存アカウントのパスワードを検証します。