LONDON (IT BOLTWISE) – Eine kritische Gitea-Sicherheitslücke (CVE-2026-59774) erlaubt Angreifern ohne Login das Lesen beliebiger Dateien, auf die der Gitea-Servicezugriff hat. Auslöser ist ein POST auf den Markup-Render-Endpunkt mit speziell gebautem Org-Mode-Markup, etwa über Include-Pfade. Gitea schließt die Lücke mit Version 1.27.1 und beschreibt zugleich eine mögliche Kettenausnutzung über interne Token und Git Hooks. Betroffene Admins sollten sofort aktualisieren und nach Verdachtszugriffen insbesondere interne Token sowie OAuth- und Datenbankgeheimnisse rotieren.
Gitea ist für viele Teams die zentrale Selbsthosting-Plattform, wenn es um Repositories, Issues und automatisierbare Workflows geht. Genau dort setzt jetzt eine kritische Schwachstelle an, die laut Advisory in den Versionen 1.22.1 bis 1.27.0 einen unauthentifizierten Datei-Lesezugriff auf beliebige Pfade ermöglicht, die das Service-Account-Konto von Gitea erreichen kann. Entscheidend ist dabei: Es braucht weder einen Login noch Repository-Write-Zugriff. Ein öffentlicher Repository-Container plus präpariertes Org-Mode-Markup reichen aus, um die Lesefähigkeit anzustoßen.
Technisch läuft der Angriff über den Markup-Rendering-Endpunkt von Gitea, der als POST auf /{owner}/{repo}/markup beschrieben wird. Der Route-Handler löst das Repository auf, prüft Reader-Berechtigungen und renderte bislang Inhalte so, dass der Org-Mode-Include-Machanismus nicht ausreichend vom Server-Dateisystem abgeschirmt war. Bei anonymen Requests wird die Readerprüfung offenbar so entkoppelt, dass der Schutz nur dann greift, wenn das Ziel-Setup keine öffentlichen Repositories bereitstellt. Das macht die Exponierung zwar konfigurationsabhängig, aber für viele Standard-Deployments realistisch: Sobald irgendein öffentliches Repo existiert und das Markup-Endpunktverhalten verfügbar ist, existiert ein unauthentifizierter Einstieg.
Der Kernfehler liegt im Org-Mode-Renderer. In Gitea 1.27.0 wurde go-org mit org.New() initialisiert, ohne die Bibliothek so anzupassen, dass Dateiincludes nicht auf dem Host-Dateisystem landen. Die Bibliothek verwendet in der relevanten Version als Default-Callback ioutil.ReadFile; Org-Mode akzeptiert mit #+INCLUDE dabei absolute Pfade und reicht sie an genau diese Callback-Funktion weiter. Der Angreifer muss also Org-Mode-Markup mit Include-Pfaden und einer entsprechenden Mode-Auswahl übermitteln, um Dateien als gerenderten Antwortinhalt zurückzubekommen. Gitea ergänzt den Fix in Version 1.27.1 so, dass die Include-Pfade nicht mehr serverseitig aufgelöst werden, sondern stattdessen als plain content zurückgegeben werden.
Damit ist der Vorgang zunächst „nur“ eine Datei-Leselücke – aber die Advisory betont eine mögliche Eskalation, falls bestimmte Secrets im Rahmen des Datei-Lesens erreichbar sind. Gitea beschreibt eine Kettenlogik, bei der ein Angreifer aus app.ini einen INTERNAL_TOKEN extrahieren könnte. Anschließend könnte er über den internen Logger einen Git Hook injizieren und das Hook-Skript über einen anonymen Clone auslösen. Wichtig ist die Formulierung: Diese Token-zu-Hook-Chain bleibt laut Advisory in der Beschreibung als mögliche Weiterentwicklung; unabhängig veröffentlichte Belege für eine vollständige „One-request remote code execution“ werden im Text nicht als nachgewiesen dargestellt. Für Admins heißt das praktisch: Selbst wenn keine Code-Ausführung bestätigt ist, kann das reine Lesen bereits für Account-Tokens, OAuth-Material, JWT-Signingdaten und Datenbankzugänge reichen, um Folgeangriffe zu ermöglichen.
Gegenmaßnahmen setzt Gitea mit dem Upgrade auf 1.27.1 an und nennt zudem detaillierte Schritte für den Fall vermuteter Exponierung. Der Anbieter schreibt sinngemäß, dass Upgrading notwendig ist, aber nach möglicher Kompromittierung nicht zwangsläufig ausreicht. Wenn Logs zeigen, dass der Markup-Endpunkt auf einer betroffenen Version erreicht wurde, sollten Verantwortliche nicht nur das Update durchführen, sondern auch die als kritisch beschriebenen Geheimnisse rotieren: INTERNAL_TOKEN, OAuth-Material, JWT-Signingmaterial und Datenbankcredentials. Zusätzlich rät Gitea, wenn es Hinweise auf eine mögliche Eskalationsroute gab, Repository-Hook-Verzeichnisse auf unerwartete ausführbare Dateien zu prüfen. In der Praxis ist das eine sinnvolle Kombination aus „Patch first“ und „Secret hygiene“, weil eine reine Versionskorrektur keinen Schutz liefert, falls bereits vor dem Patch ein Token abgegriffen wurde.
Die Einordnung im Vulnerability-Lifecycle fällt ebenfalls auf. Die formale Zuordnung ist als CVE-2026-59774 mit einem CVSS-Score von 9,8 als „Critical“ beschrieben; die formale Advisory datiert auf den 2. August. Gitea berichtet zugleich, dass keine nachweislichen Ausnutzungen in der Breite beobachtet wurden; außerdem steht die Schwachstelle (Stand 5. August 2026) nicht auf einer bekannten „actively exploited“-Liste einer US-Behörde. Gleichzeitig ist der Hintergrund kein „isolierter Bug“: Gitea schließt in 1.27.1 auch eine separate Remote-Code-Execution-Lücke unter CVE-2026-60004, die zuvor bereits in einem anderen Sicherheitskontext erwähnt wurde. Als Grundlage für die konkrete Fehlerbehebung verweist die Advisory auf einen Fix über PR #38642 sowie dessen Backport via PR #38645 und nennt außerdem Regressionstests für das neue Include-Pfad-Verhalten.
Für die operative Risikoarbeit ist schließlich wichtig, wie sich die Lücke im Netzwerk und in den Logs abbildet. Die Advisory legt den Fokus auf anonyme POST-Requests an /{owner}/{repo}/markup, insbesondere dann, wenn Org-Mode-Rendering ausgewählt wurde oder absolute Filesystem-Pfade übermittelt wurden. Ergänzend sollte man bei betroffenen Instanzen nicht nur die „Root Cause“ (Datei-Lesepfad) ansehen, sondern die gesamte Geheimniskette: Welche Dateien konnte der Renderer lesen, welche Konfigurationen lagen in app.ini oder ähnlich erreichbaren Stellen, und ob daraus Hooks oder andere Mechanismen abgeleitet wurden. Im breiteren Sicherheitsbild ist das auch deshalb relevant, weil Gitea in den Vormonaten weitere sicherheitskritische Probleme adressierte, darunter einen Authentifizierungsbypass in Reverse-Proxy-Konstellationen in Container-Images sowie eine Zugriffskontrollschwäche in einem Container-Registry-Kontext. Für Teams bedeutet das: Die 1.27.1-Priorisierung ist nicht nur eine „Patch-Lücke schließen“-Aufgabe, sondern Teil eines wiederkehrenden Musters, bei dem Renderer- und Proxy-Pfade im Alltag schnell zur Angriffsfläche werden.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gitea kritische Lücke CVE-2026-59774 erlaubt Datei-Lesen ohne Login" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gitea kritische Lücke CVE-2026-59774 erlaubt Datei-Lesen ohne Login" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gitea kritische Lücke CVE-2026-59774 erlaubt Datei-Lesen ohne Login« bei Google Deutschland suchen, bei Bing oder Google News!