Gitea: Tag-Löschroute löscht veröffentlichte Releases und Anhänge

Zusammenfassung

Die Web-Route zum Löschen von Tags in Gitea teilt sich ihren Handler mit der Release-Löschung und prüft nicht, ob das Ziel ein reiner Tag ist. Ein Mitarbeitender mit Schreibzugriff auf die Code-Einheit, aber ohne Schreibzugriff auf Releases, kann veröffentlichte Releases des Repositories inklusive Anhänge dauerhaft löschen. Geschützte Tag-Regeln, die den Release-Tag abdecken, verhindern die Löschung, dieser Schutz ist jedoch standardmässig deaktiviert und muss pro Repository konfiguriert werden.

Betroffen

• Gitea bis und mit 28.0.0
• Ältere Versionen: Unbekannt.

Behoben in

• Gitea 28.1.0 (behoben mit PR #39501 und PR #39507)
• Eine neuere Version (28.2.0) wird von einer Drittquelle aufgeführt; die aktuelle Version ist auf der Gitea-Releases-Seite zu prüfen.

Umgehung

• Kein offizieller Workaround bekannt.
• Teilweise Schutzmassnahme: Tag-Schutzregeln konfigurieren, die Release-Tags abdecken und die betroffenen Benutzenden nicht zulassen.
• Schreibzugriff auf den Code auf vertrauenswürdige Benutzende beschränken.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
• Kein öffentlicher Proof of Concept in den durchsuchten Quellen gefunden.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.

Unsere Empfehlung

• Gitea auf Version 28.1.0 oder neuer aktualisieren.
• Prüfen, welche Benutzenden Schreibzugriff auf den Code der Repositories haben, und nicht benötigte Rechte entfernen.
• Vor und nach dem Patchen Backups der Release-Anhänge sicherstellen.
• Den aktuellen NVD-Score und die Advisory-Details vor der endgültigen Priorisierung überprüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Gitea 28.1.0 release blog blog.gitea.com
• GHSA-vvqw-mjq8-x248 advisory github.com
• Gitea PR #39501 github.com
• Gitea PR #39507 github.com
• Gitea v28.1.0 release github.com
• OSV CVE-2026-105267 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:40.