Gitea发布28.3.0版修复OAuth2账户接管漏洞
该漏洞编号CVE-2026-120263，由Anthropic的AI模型Claude发现，Doyensec研究人员参与验证。
开源代码托管平台Gitea于2026年11月1日发布28.3.0版，修复包括CVE-2026-120263在内的多个安全问题，并建议用户尽快升级。据dailysecu.com报道，官方公告已同步发布。
CVE-2026-120263是OAuth2账户关联流程中的账户接管漏洞。攻击者无需知道受害者密码，即可将自己的外部登录账户关联至已有的Gitea账户。该漏洞影响启用了“ACCOUNT_LINKING = auto”且允许新用户注册的实例；默认设置会校验现有账户的密码，因此不受影响。
根据官方安全公告，该漏洞由Anthropic的AI模型Claude发现，Doyensec的研究人员与Anthropic Research合作完成了验证。
另外两个已修复漏洞
CVE-2026-113429是Gitea Actions下载构建产物时的存储型XSS漏洞，可在Gitea的安全上下文中执行恶意脚本。CVE-2026-112887则允许为自动化任务签发的令牌枚举服务器上的其他私有仓库，泄露其存在及相关信息，但不涉及文件内容。
Gitea方面表示，用户应尽快升级至28.3.0版。
快速问答
CVE-2026-120263影响哪些Gitea实例？
影响启用了“ACCOUNT_LINKING = auto”且允许新用户注册的实例；默认配置会校验现有账户密码，不受影响。
Gitea 28.3.0修复了哪些漏洞？
修复CVE-2026-120263账户接管漏洞，以及CVE-2026-113429存储型XSS和CVE-2026-112887私有仓库信息泄露问题。