LONDON (IT BOLTWISE) – Eine kritische Datei-Lese-Schwachstelle in Gitea ermöglicht unautentifizierten Angreifern, beliebige Dateien zu lesen, auf die das Gitea-Service-Account zugreifen darf. Betroffen sind die Versionen 1.22.1 bis 1.27.0; behoben ist der Fehler in Gitea 1.27.1. Die Lücke ist als CVE-2026-59774 mit einem CVSS-Score von 9,8 eingestuft. Entscheidend: Der Angriff nutzt POST-Zugriffe auf den Markup-Renderer und Org-Mode-# +INCLUDE-ähnliche Pfadlogik.
In der Praxis klingt der Titel der Meldung zunächst nach einem „klassischen“ Informationsleck, doch der konkrete Angriffsweg macht die Schwachstelle in Gitea so heikel: Ein Angreifer kommt ohne Login aus, sofern die Instanz mindestens ein öffentliches Repository hat. Über einen gezielten POST-Aufruf an den Markup-Renderer kann er Org-Mode-Markup so verarbeiten lassen, dass der Server Dateien ausliest, die der Gitea-Dienst selbst lesen darf. Genau diese Kombination aus fehlender Authentifizierung und Dateizugriff auf serverseitige Pfade führt dazu, dass aus einer reinen Leseprimitve später auch ein deutlich gefährlicheres Szenario werden kann.
Technisch verläuft der Pfad über die Route „POST /{owner}/{repo}/markup“. Der Endpoint erlaubt optionales Sign-in, prüft aber bei anonymen Anfragen die Leserrechte gegen ein öffentliches Repository. Damit reduziert sich die Angriffsfläche im Kern auf Installationen mit mindestens einem Public-Repo; eine Instanz ohne öffentliche Repositories hätte über diesen speziellen Renderer keine anonyme Angriffsgelegenheit. Die Schwachstelle sitzt dann nicht in Git selbst, sondern im Org-Mode-Renderer: Sobald der Renderer absolute Include-Pfade akzeptiert, kann ein Angreifer eine „Mode: file“-Ausgabe erzwingen und die Org-Logik auf den lokalen Dateisystem-Kontext des Servers abbilden.
Die betroffene Codebasis erklärt Gitea mit einem Detail aus der Org-Mode-Bibliothek: In den Versionen bis einschließlich 1.27.0 wurde go-org mit org.New() initialisiert, ohne den default ReadFile-Callback zu ersetzen. In go-org 1.9.1 entspricht dieser Callback technisch einem Aufruf, der serverseitig Dateien über den Dateisystem-Leseweg ausliest (im Kern ein ioutil.ReadFile). Das Org-Mode-Feature, namentlich das Include-Verhalten, nimmt dabei absolute Pfade entgegen und reicht sie an den Callback durch. Der Angreifer liefert also Org-Mode-Markup, entscheidet sich für eine File-Rendering-Variante, und erhält im Ergebnis den Inhalt der auf dem Host verfügbaren Datei zurück, so wie sie der Gitea-Serviceaccount lesen könnte.
Für Betreiber ist der entscheidende Punkt: Das ist nicht „direktes One-Request Remote Code Execution“ in dem Sinn, dass allein das Lesen einer Datei sofort Code ausführt. Gitea beschreibt aber eine Kettenwirkung, die aus dem Dateiexport eine weitere Handlungsklasse machen kann: Wenn ein Angreifer beispielsweise app.ini ausliest, daraus den INTERNAL_TOKEN gewinnt und anschließend über die interne Logging-Mechanik einen Git Hook injiziert, kann er diesen Hook bei einem anonymen Clone-Request auslösen. Genau diese Kette wird in der Gitea-Analyse als mögliches Szenario erläutert; unabhängig veröffentlichte Exploits, die diese gesamte Kette nachweislich demonstrieren, lagen der Meldung zufolge nicht vor. Unabhängig davon bleibt das Risiko real, weil schon das Dateilecken von Tokens, OAuth-Material, JWT-Signing-Sekreten oder Datenbankzugängen den Spielraum für Folgeangriffe massiv erweitert.
Die Behebung erfolgt in Gitea 1.27.1: Dort überschreibt das Projekt den ReadFile-Mechanismus so, dass ein Org-Mode-Include-Pfad nicht mehr wie ein serverseitiger Dateisystem-Pfad aufgelöst wird. Stattdessen wird der Include-Pfad als „plain rendered content“ zurückgegeben, ohne dass der Server die Datei tatsächlich öffnet. Zusätzlich nennt Gitea zwei Pull-Requests als Grundlage der Korrektur und deren Backport: PR #38642 für den Fix und PR #38645 für die Rückführung. Relevant für die Betriebspraxis ist auch, dass ein Regressionstest für das Include-Path-Rendering ergänzt wurde – also ein Schutzmechanismus, der genau diesen Fehlerpfad künftig verhindert.
Beim Security-Management sollten Teams zwei Ebenen gleichzeitig betrachten. Erstens: Upgraden auf 1.27.1, weil Gitea die Schwachstelle als CVE-2026-59774 (Critical, CVSS 9,8) geführt hat und die formale Advisory am 2. August veröffentlicht wurde. Zweitens: Falls im Log sichtbar ist, dass der betroffene Markup-Endpunkt auf einer gefährdeten Version erreicht wurde, reicht ein reines Update möglicherweise nicht aus. Gitea empfiehlt in diesem Fall, die durch den Dienst lesbaren Geheimnisse als potenziell kompromittiert zu behandeln und gezielt zu rotieren: INTERNAL_TOKEN, OAuth-Material, JWT-Signing-Material sowie Datenbankcredentials, bevor die Instanz als „sauber“ bewertet wird. Ergänzend sollte man bei einer versuchten Token-zu-Hook-Kette die Repository-Hook-Verzeichnisse auf unerwartete ausführbare Dateien prüfen.
Einordnung und zeitlicher Kontext unterstreichen, dass Gitea in kurzer Folge an mehreren sicherheitsrelevanten Stellen nachgeschärft hat. Neben CVE-2026-59774 fixt 1.27.1 auch CVE-2026-60004, eine separate Remote-Code-Execution-Schwachstelle, die bereits in einer früheren Berichterstattung aufgegriffen wurde. Auch davor liegen Meldungen zu Authentifizierungsumgehungen in Container-/Reverse-Proxy-Kontexten (u. a. ein Critical-Bug in Docker-Images) sowie zu einem Container-Registry-Zugriffsthema, bei dem die geschätzte Reichweite in die Größenordnung von mehr als 30.000 Deployments ging. Für DevOps-Organisationen heißt das: „Patchen“ ist hier nicht nur Routine, sondern ein koordinierter Prozess aus Wartungsfenster, Secret-Rotation und Log-Überprüfung. Wenn der Markup-Endpunkt bereits öffentlich erreichbar war, sollte man die Suche nach anomalem Org-Rendering priorisieren, insbesondere nach POST-Anfragen, die Org-Mode-Rendermodi oder absolute Dateipfade enthalten.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Gitea: Kritische Datei-Lese-Schwachstelle via Org-Mode-Markup (CVE-2026-59774)" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Gitea: Kritische Datei-Lese-Schwachstelle via Org-Mode-Markup (CVE-2026-59774)" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Gitea: Kritische Datei-Lese-Schwachstelle via Org-Mode-Markup (CVE-2026-59774)« bei Google Deutschland suchen, bei Bing oder Google News!