Auf den Punkt: Eine kritische Gitea-Schwachstelle (CVE-2026-59774, CVSS 9.8) erlaubt unauthentifiziertes Auslesen von Serverdateien über Org-Mode-Markup in Versionen 1.22.1 bis 1.27.0 und ist mit Version 1.27.1 behoben.
In der selbstgehosteten Git-Plattform Gitea ermöglicht eine kritische Schwachstelle Angreifern ohne Anmeldung das Auslesen beliebiger Dateien, auf die der Service-Account Zugriff hat. Betroffen sind die Versionen 1.22.1 bis 1.27.0, ein Patch liegt mit Version 1.27.1 vor.
Die Lücke wird als CVE-2026-59774 geführt und mit einem CVSS-Wert von 9.8 als kritisch eingestuft. Für eine erfolgreiche Ausnutzung genügt ein öffentliches Repository sowie präpariertes Org-Mode-Markup. Weder eine Anmeldung am System noch Schreibrechte auf ein Repository sind erforderlich, um Dateien auszulesen, die dem Service-Account zugänglich sind.
Für Betreiber von Gitea-Instanzen bedeutet dies ein direktes Risiko für die Vertraulichkeit von Konfigurationsdateien, Zugangsdaten oder sonstigen sensiblen Informationen, die auf dem Server liegen und für den Service-Account lesbar sind. Da die Schwachstelle unauthentifiziert und ohne besondere Berechtigungen ausnutzbar ist, senkt sich die Angriffshürde erheblich – öffentlich erreichbare Gitea-Instanzen mit mindestens einem öffentlichen Repository sind grundsätzlich exponiert.
CISOs mit selbstgehosteten Gitea-Umgebungen sollten kurzfristig prüfen, welche Version im Einsatz ist, und ein Update auf 1.27.1 oder neuer priorisieren. Zusätzlich empfiehlt sich eine Überprüfung der Berechtigungen des Service-Accounts, um den potenziellen Schaden im Falle einer nicht rechtzeitig gepatchten Instanz zu begrenzen, sowie eine Sichtung von Zugriffslogs auf Hinweise für eine bereits erfolgte Ausnutzung im Zeitraum der Verwundbarkeit.
Quelle: thehackernews.com · Erschienen 5. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.