ترجمة آلية لم تُراجَع بعد. النص الإنجليزي هو المرجع في حال الاختلاف.
الملخص
عندما يتم ضبط `[oauth2_client].ACCOUNT_LINKING` على القيمة `auto` (وهي ليست القيمة الافتراضية) وتم تمكين التسجيل، فإن نموذج تسجيل ربط الحساب كان يبحث عن الحساب الموجود لربطه بواسطة اسم المستخدم أو البريد الإلكتروني المُرسَل في النموذج بدلاً من الهوية المُؤكَّدة من قِبل موفر OAuth2. كان بإمكان مهاجم يملك حسابًا لدى موفر OAuth2 مُكوَّن إرسال اسم مستخدم خاص بمستخدم آخر، وربط هويته الخارجية بهذا الحساب في Gitea، وتسجيل الدخول إليه دون الحاجة إلى كلمة المرور الخاصة به، بما في ذلك بصفتها حساب مسؤول. وقد ظل هذا الرابط دائمًا لعمليات تسجيل الدخول لاحقًا. أصبح الربط التلقائي يحدث الآن فقط عندما يتطابق الحساب الموجود مع البريد الإلكتروني للموفر أو اسم المستخدم المستمد من الموفر؛ وإلا فإن كلمة مرور الحساب تصبح مطلوبة.