CVE-2026-28699: Bypass dello Scope OAuth2 di Gitea tramite HTTP Basic Auth

Un token di accesso OAuth2 di Gitea con scope limitato a solo read:user può eseguire azioni di scrittura complete quando viene inviato come Authorization: Basic base64(<token>:x-oauth-basic) invece che come token Bearer. Il controllo dello scope viene saltato per qualsiasi token presentato tramite autenticazione Basic.

Affette: <= 1.26.1. Risolto in 1.26.2. Advisory: GHSA-9r5x-wg6m-x2rc. CWE-863. Gravità Alta.

Analisi completa: WRITEUP.md

Avvio rapido

pip install -r requirements.txt   # requests
python fetch_binaries.py          # pulls vulnerable 1.26.1 + patched 1.26.2 for your OS
python poc.py 1.26.1              # vulnerable: Basic-auth write succeeds (scope bypassed)
python poc.py 1.26.2              # patched: Basic-auth write blocked (403)

poc.py lancia un'istanza temporanea di Gitea su SQLite nella directory temp di sistema, esegue il flusso del codice di autorizzazione OAuth2 per creare un token con solo read:user, poi chiama un endpoint di scrittura sia tramite Bearer che Basic e stampa il verdetto. Imposta POC_DEBUG=1 per vedere i passaggi del flusso di autenticazione.

Output atteso

Vulnerabile 1.26.1:

[Bearer] PATCH /api/v1/user/settings -> HTTP 403   (blocked)
[Basic ] PATCH /api/v1/user/settings -> HTTP 200   (ALLOWED -- scope BYPASSED)
>>> VULNERABLE: read:user token performed a write via Basic auth.

Corretto 1.26.2:

[Bearer] PATCH /api/v1/user/settings -> HTTP 403   (blocked)
[Basic ] PATCH /api/v1/user/settings -> HTTP 403   (blocked)
>>> PATCHED: scope enforced on both Bearer and Basic.

Causa principale in una tabella

Presentazione autenticazione	IsApiToken	ApiTokenScope	scope applicato?
Token OAuth2 tramite Bearer	true	impostato	sì
Token OAuth2 tramite Basic	true	assente	no
Token di accesso personale	true	impostato	sì

services/auth/basic.go imposta IsApiToken ma non ApiTokenScope per i token OAuth2. Il middleware tokenRequiresScopes termina anticipatamente quando lo scope è assente, quindi non viene controllato nulla. La correzione in 1.26.2 aggiunge il codice mancante store.GetData()["ApiTokenScope"] = accessTokenScope.

File

File	Scopo
WRITEUP.md	Analisi delle cause, impatto, rimedio, rilevamento
fetch_binaries.py	Scarica i binari 1.26.1 / 1.26.2 per il tuo sistema operativo/architettura
poc.py	Provisiona Gitea, genera un token read:user, testa Bearer vs Basic
requirements.txt	requests

Solo per uso autorizzato

Per scopi educativi e test di sicurezza autorizzati: il tuo laboratorio personale, macchine CTF e HTB, target di bug bounty in scope. Il PoC esegue la propria istanza usa e getta di Gitea, quindi non puntarlo verso nulla che non ti appartenga.