Gitea 28.3.0 sürümü, hesap ele geçirme açığı dahil 21 güvenlik açığını kapattı

Gitea, 1 Kasım’da 28 serisinin üçüncü bakım sürümü olan 28.3.0’ı yayımladı. Gitea’nın duyurusuna göre sürüm, çoğu token kapsamlarıyla ilgili çok sayıda güvenlik düzeltmesi içeriyor ve duyuruda 21 CVE listeleniyor. Gitea bütün kullanıcıların en kısa sürede güncellemesini öneriyor. Gitea, kendi tanımına göre Git barındırma, kod inceleme, ekip çalışması, paket deposu ve CI/CD sunan, kendi sunucusunda çalıştırılan bir yazılım geliştirme hizmeti.

Duyurudaki 21 CVE’den 20’si için Gitea’nın GitHub’da güvenlik danışma notu var. Bu notlarda açıklardan 7’si High, 13’ü Moderate olarak sınıflandırılıyor. CVE kayıtlarında CVSS puanı yok. Künyedeki “yüksek” önem derecesi bu yüzden Gitea’nın kendi sınıflandırmasına dayanıyor. Duyurudaki 21. CVE olan CVE-2026-111943 ise Gitea’nın hazır dosyalarının artık Go 1.27.3 ile derlenmesiyle ilgili. Gitea’ya göre bu Go sürümü, düzenleyen sertifika otoritesiyle ilgili güvenlik kaygıları nedeniyle bir grup ara sertifikaya artık güvenmiyor. Bu, Gitea’nın OAuth2 sağlayıcıları, webhook’lar, yansılar ve taşıma işlemleri gibi dış bağlantılarındaki sertifika kontrollerini etkiliyor.

Hesap ele geçirme açığı

CVE-2026-120263 numaralı açık, yalnızca OAuth2 ayarlarında ACCOUNT_LINKING değeri “auto” yapılmış ve kayıt açık olan kurulumları etkiliyor. CVE kaydına göre bu ayar varsayılan değil. Kayda göre bu durumda hesap bağlama kayıt formu, bağlanacak mevcut hesabı OAuth2 sağlayıcısının doğruladığı kimliğe göre değil, formda girilen kullanıcı adına ya da e-posta adresine göre arıyordu. Yapılandırılmış bir OAuth2 sağlayıcısında hesabı olan bir saldırgan, formda başka bir kullanıcının adını girerek kendi dış kimliğini o Gitea hesabına bağlayabiliyor ve yönetici hesabı dahil o hesaba parolasız giriş yapabiliyordu. Bağlantı sonraki girişlerde de geçerli kalıyordu. Düzeltmeyle Gitea, otomatik bağlamayı yalnızca mevcut hesap sağlayıcının bildirdiği e-posta adresiyle ya da sağlayıcıdan gelen kullanıcı adıyla eşleştiğinde yapıyor, aksi hâlde hesabın parolasını istiyor.

Gitea’nın duyurusu açığı bildiren dört araştırmacıya teşekkür ediyor. Danışma notundaki bildirimi yapan araştırmacı Doyensec’te çalıştığını belirtiyor. Araştırmacı, Anthropic’le birlikte yürüttükleri ve açık kaynak yazılımlardaki açıkları Claude ile bulup ayıkladıkları bir koordineli açık bildirimi programında Gitea’nın işaretlendiğini, ilk hatayı Claude’un bulduğunu, istismar kodunu da Claude’un yazdığını, kendisinin ise bildirimi inceleyip doğruladığını belirtiyor.

Actions ile ilgili açıklar

CVE-2026-118386 (High), Gitea Actions’ın kurulu ve depoya hizmet veren bir çalıştırıcısının (runner) olduğu kurulumları etkiliyor. CVE kaydına göre bir pull request incelemesiyle tetiklenen iş akışları, incelemede belirtilen commit’ten okunuyordu, ancak bu commit’in o pull request’e ait olup olmadığı kontrol edilmiyordu. Depoda yalnızca okuma yetkisi olan bir kullanıcı, fork üzerinden açtığı bir pull request ya da AGit gönderimiyle kendi commit’ini depoya yerleştirip, kaynak dalı (head branch) aynı depoda bulunan bir pull request’e bu commit’i gösteren bir inceleme gönderebiliyordu. Bu durumda saldırganın iş akışı onay gerekmeden çalışıyor, deponun ve sahibinin Actions gizli bilgilerini alıyor ve depoya yazabilen bir GITEA_TOKEN elde ediyordu. Açık 1.19.0 ve sonraki sürümleri etkiliyor. Gitea’nın duyurusu bu açığı bildirdiği için Anthropic’e teşekkür ediyor.

CVE-2026-113429 (High), eski tip Actions artifact yüklemelerinde bir stored XSS açığı. CVE kaydına göre bir Actions işi çalıştırabilen kullanıcı, Gitea’nın kendi adresinde HTML olarak açılan bir artifact yükleyebiliyordu. Bağlantıyı açan kişi saldırganın betiğini kendi oturumuyla çalıştırıyordu ve kayda göre bu, kurbanın yönetici olması durumunda kurulumun kontrolü anlamına geliyordu.

Aynı grupta iki açık daha var. CVE-2026-112887 (Moderate) bir iş akışı çalıştırabilen kullanıcının işin token’ıyla kurulumdaki bütün depoları, başka kullanıcıların özel depoları dahil, adları ve bilgileriyle listelemesine izin veriyordu, depo içerikleri ise korunuyordu. CVE-2026-116474 (Moderate) bir işin token’ıyla, kullanıcının kendi anahtarıyla imzaladığı commit’lerin Gitea’nın kendi imzası gibi doğrulanmış görünmesini sağlıyordu. Kayda göre etkisi yalnızca gösterilen imza durumuyla sınırlı. Gitea’nın duyurusu bu açığı da bildirdiği için Anthropic’e teşekkür ediyor.

Token kapsamı açıkları

Sürümdeki açıkların büyük bölümü, yalnızca herkese açık kaynaklara erişebilecek şekilde sınırlandırılmış (public-only) erişim token’larının bu sınırın dışına çıkabilmesiyle ilgili. Bunlardan High olarak sınıflandırılanlar şunlar:

• CVE-2026-117635: Yönetici API’si public-only kısıtlamasını uygulamıyordu. Bir site yöneticisinin public-only token’ı bütün kullanıcıların e-posta adreslerini listeleyebiliyor, kuruluş ve runner kayıt token’ı oluşturabiliyor ve yeni site yöneticileri yaratabiliyordu. CVE kaydına göre yaratılan yönetici hesabı token iptal edildikten sonra da kalıyor.
• CVE-2026-119441: Bir kuruluş sahibinin public-only token’ı, kuruluşun özel depoları dahil bütün depolarını kalıcı olarak silebiliyordu.
• CVE-2026-117685: OCI paket deposundaki bir kontrol hatası, public-only bir token’ın özel bir paketteki veriyi herkese açık bir pakete taşıyıp herkesin indirebileceği hâle getirmesine izin veriyordu.
• CVE-2026-116296: Arşivlenmiş, yani salt okunur olması gereken depolarda yazma yetkisi olan bir kullanıcı API üzerinden sürüm dosyalarını değiştirebiliyor, sürümleri ve etiketleri silebiliyordu.

Moderate olarak sınıflandırılan açıklardan CVE-2026-116289, bir kuruluş sahibinin public-only token’ıyla kuruluş düzeyinde bir runner kaydedilmesine ve bu runner’ın kuruluşun özel depolarındaki işleri, iş akışı içerikleri ve Actions gizli bilgileriyle birlikte almasına izin veriyordu. Diğer Moderate açıklar özel depo ve kuruluş adlarının, özel etkinliklerin, özel issue ve pull request bilgilerinin public-only ya da kapsamı farklı token’larla görülebilmesine, arşivlenmiş depolarda issue’ların değiştirilebilmesine ve Helm chart yüklemeleriyle sunucunun yavaşlatılabilmesine yol açıyordu.

Etkilenen ve düzeltilmiş sürümler

• Gitea 28.2.0 ve öncesi etkileniyor. Bazı açıklar 1.19.0, 1.23.0 ya da 1.27.0 sürümünden itibaren bulunuyor.
• Bütün açıklar Gitea 28.3.0’da kapatıldı.

Önerilen önlemler

Gitea, bütün kullanıcıların en kısa sürede 28.3.0’a geçmesini öneriyor. Hazır dosyalar Gitea’nın indirme sayfasında yer alıyor. Gitea’nın duyurusunda açıkların saldırılarda kullanıldığına dair bir bilgi yer almıyor.