Auf den Punkt: Angreifer mit Repository-Schreibrechten können in Gitea 1.17–1.27.0 über Git Hooks Shell-Befehle als Gitea-Dienst-Konto ausführen; Fix in 1.27.1 verfügbar.
Gitea hat eine kritische Remote-Code-Execution-Lücke behoben, über die Benutzer mit Repository-Schreibrechten Git Hooks als Dienst-Konto ausführen können. Die Schwachstelle CVE-2026-60004 betrifft Versionen ab 1.17 bis 1.27.0 mit CVSS-Score 9,8.
Die Schwachstelle CVE-2026-60004 erlaubt es Benutzern mit gewöhnlichen Schreibrechten auf ein Repository, manipulierte Patch-Inhalte in aktive Git Hooks zu überführen und dadurch Shell-Befehle auszuführen. Der Angreifer benötigt kein administratives Konto, sondern nur normalen Zugriff auf ein Projekt. Das ermöglicht Privilege Escalation zum Gitea-Dienst-Konto mit eventuell weitreichenden Berechtigungen auf dem Host-System.
Betroffene Versionen sind Gitea 1.17 und später bis einschließlich 1.27.0. Mit CVSS-Score 9,8 ist die Lücke hochkritisch eingestuft. Der Patch ist in Version 1.27.1 enthalten.
CISOs sollten alle Gitea-Instanzen in selbstverwalteten Umgebungen auf Version 1.27.1 oder später prüfen und aktualisieren. Besondere Aufmerksamkeit gilt Systemen mit mehreren Benutzern oder Integration in CI/CD-Pipelines, da die Ausführungskontexte erhebliche Auswirkungen haben können. Falls ein zeitnahes Update nicht möglich ist, sollte der Zugriff auf Repository-Schreibrechte – besonders für externe oder weniger vertrauenswürdige Accounts – eingeschränkt werden.
Quelle: thehackernews.com · Erschienen 29. Juli 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.7.3.