In der selbstgehosteten Git-Plattform Gitea klafft eine kritische Sicherheitslücke: Über CVE-2026-59774 – bewertet mit dem höchstmöglichen CVSS-Score von 9.8 – können unauthentifizierte Angreifer beliebige Dateien vom Server auslesen. Betreiber sollten umgehend aktualisieren.
Angreifbar ist der Endpunkt zum Rendern von Markup auf öffentlichen Repositories. Ein Angreifer kann dort Org-mode-Markup mit einer #+INCLUDE-Direktive einreichen, die auf einen absoluten Pfad zeigt. Gitea liest die angegebene Datei daraufhin aus – und zwar jede Datei, auf die das Dienstkonto von Gitea zugreifen kann. Als Ursache gilt, dass die genutzte Bibliothek go-org ohne einen abgesicherten ReadFile-Callback initialisiert wurde.
Betroffene Versionen und Update
- Betroffen: Gitea 1.22.1 bis 1.27.0.
- Behoben in: Gitea 1.27.1 (veröffentlicht am 2. August 2026).
- Risiko: unauthentifiziert ausnutzbar, keine Anmeldung nötig.
Da die Lücke ohne Zugangsdaten und allein über öffentliche Repositories ausgenutzt werden kann, ist besonders jede aus dem Internet erreichbare Instanz gefährdet. Ein öffentlicher Write-up erhöht den Handlungsdruck zusätzlich. Wer Gitea betreibt, sollte zeitnah auf 1.27.1 aktualisieren – und generell den Zugang absichern, etwa hinter einem Reverse Proxy oder einem VPN.
Quelle: Self-Hosted Weekly (elest.io), Week 32/2026.
