Gitea 28.3.0 schließt 21 Lücken bei Tokens, OAuth2 und Actions

Gitea hat am 01.11.2026 die Version 28.3.0 veröffentlicht. Das dritte Wartungsrelease der 28er-Reihe schließt 21 als CVE geführte Sicherheitslücken, die meisten davon rund um Token-Scopes. Hinzu kommen eine OAuth2-Kontoübernahme unter bestimmten Einstellungen, ein Fehler in Actions-Workflows mit Zugriff auf Secrets und eine Stored-XSS-Lücke.

Betroffen sind alle selbst betriebenen Gitea-Instanzen vor 28.3.0. Besonders exponiert sind Instanzen mit offener Registrierung, aktivierten Actions oder vielen API-Tokens. Gitea empfiehlt, so bald wie möglich zu aktualisieren. Admins sollten das Update nicht bis zum regulären Wartungsfenster aufschieben.

Was ist passiert?

Laut Release-Blog wurde die Beschränkung auf öffentliche Daten bei Tokens mit dem Scope public-only an vielen Stellen nicht durchgesetzt. Die wichtigsten Korrekturen im Überblick:

• CVE-2026-120263: Mit [oauth2_client] ACCOUNT_LINKING = auto (nicht Standard) und offener Registrierung konnte ein Angreifer über das Formular zur Kontoverknüpfung den Namen eines fremden Kontos angeben und wurde ohne Passwort angemeldet, laut CVE-Text auch als Administrator.
• CVE-2026-118386: Ein Nutzer mit Lesezugriff konnte ein Review mit einer selbst gewählten commit_id abgeben. Workflows für pull_request_review liefen dann ohne Freigabe aus diesem Commit, mit den Secrets des Repositorys und einem schreibfähigen Token. Gemeldet hat das Anthropic.
• CVE-2026-117635: Ein public-only Token eines Site-Admins wirkte an der Admin-API, konnte die E-Mail-Adressen aller Nutzer auslesen und neue Administratoren anlegen.
• CVE-2026-119441: Ein public-only Token eines Organisationsbesitzers konnte alle Repositorys der Organisation löschen, auch private.
• CVE-2026-116289: Über ein solches Token ließ sich ein Registrierungstoken für Organisations-Runner erzeugen. Ein so registrierter Runner erhielt Jobs samt Secrets aus privaten Repositorys.
• CVE-2026-112887: Der GITEA_TOKEN eines Jobs konnte alle privaten Repositorys der Instanz auflisten.
• CVE-2026-113429: Über Legacy-Actions-Artefakte war Stored XSS auf dem Gitea-Origin möglich.
• CVE-2026-111943: Die Release-Binaries werden mit Go 1.27.3 gebaut, das bestimmten Zwischenzertifikaten nicht mehr vertraut. Das betrifft ausgehende Verbindungen etwa zu OAuth2-Anbietern, Webhooks und Mirrors.

Weitere Korrekturen betreffen Änderungen an archivierten Repositorys, private Issues in Timelines und Projektboards sowie entpackte Helm-Uploads ohne Größenlimit.

Wer ist betroffen?

Laut CVE-Eintrag ist Gitea vor 28.3.0 betroffen. Wie stark eine Instanz gefährdet ist, hängt von der Konfiguration ab. Die OAuth2-Übernahme setzt automatische Kontoverknüpfung und offene Registrierung voraus. Die Actions-Lücken betreffen Instanzen mit aktivierten Actions und Runnern. Die Token-Fehler betreffen alle Umgebungen, in denen Nutzer public-only Tokens an Dritte oder Automatisierungen weitergeben.

Wie kritisch ist das?

Gitea nennt keine CVSS-Werte. Einzelne Lücken reichen bis zur Übernahme von Administratorkonten, zum Löschen ganzer Organisationen oder zum Abfluss von Secrets aus privaten Repositorys. Angaben zu einer aktiven Ausnutzung machen weder Gitea noch Linuxiac.

Was sollten Admins jetzt tun?

• Inventar prüfen: Laufende Version jeder Instanz ermitteln, etwa über die Fußzeile der Weboberfläche oder gitea --version.
• Auf Gitea 28.3.0 aktualisieren, bei Docker-Setups das Image-Tag anpassen und den Container neu erstellen.
• In der app.ini prüfen, ob ACCOUNT_LINKING = auto gesetzt ist und ob offene Registrierung wirklich nötig ist.
• Vorhandene public-only Tokens, Runner-Registrierungen und Administratorkonten auf unerwartete Einträge prüfen.
• Ausgehende Verbindungen zu OAuth2-Anbietern, Webhooks und Mirrors nach dem Update testen.

Einordnung für Unternehmen

Viele Teams nutzen Gitea als zentrale Code-Ablage mit eigener CI über Actions. Gerade dort wiegen Lücken schwer, die Secrets oder Schreibrechte preisgeben, denn Deploy-Schlüssel und Zugangsdaten liegen oft in den Repository-Secrets. Das Release folgt kurz auf Gitea 28.2 und zeigt, dass Token-Berechtigungen ein wiederkehrendes Thema bleiben. Wer Gitea betreibt, sollte Updates daher fest einplanen.

Passende Anleitungen auf S-EDV

• Gitea als Self-Hosted Git-Server mit Docker
• Gitea 28: Audit-Logs, Bot-Accounts und neues Versionsschema
• Docker-Container aktuell halten mit Diun und WUD

Quellen

• Gitea Blog: Gitea 28.3.0 is released
• GitHub: Gitea v28.3.0 Changelog
• CVE-2026-120263
• Linuxiac: Gitea 28.3 Released