Gitea: Unauthentifiziertes Lesen beliebiger Dateien über die Org-mode-INCLUDE-Direktive

Zusammenfassung

Der Org-mode-Renderer von Gitea verarbeitet INCLUDE-Direktiven im Markup-Endpunkt des Repositorys, ohne den Zugriff auf serverseitige Dateien einzuschränken. Ein nicht authentifizierter Angreifer kann über ein geeignetes öffentliches Repository Dateien lesen, auf die das Gitea-Dienstkonto zugreifen kann. Wenn app.ini mit dem INTERNAL_TOKEN offengelegt wird, kann der Angreifer die Lücke mit dem Zugriff auf den internen Logger verketten, einen Git-Hook verändern und Befehle als Gitea-Dienstkonto ausführen.

Betroffen

• Gitea 1.22 bis unter 1.27.1 (Bereich laut Herstellerhinweis)
• Standardkonfiguration: nicht betroffen
• Untere Grenze nicht vollständig verifiziert; einige Quellen nennen 1.22.1 als erste betroffene Version

Behoben in

• Gitea 1.27.1 (behoben mit den Pull Requests #38642 und #38645)
• Neuere 1.27.x-Versionen sind verfügbar; die neueste stabile 1.27.x-Version verwenden

Umgehung

• Dem Hersteller ist keine dokumentierte Umgehungsmassnahme bekannt.
• Unbekannt, ob das Deaktivieren des Org-mode-Renderings oder die Einschränkung der Markup-Route die Lücke entschärft.

Ausnutzung

• Öffentlich verfügbarer Proof-of-Concept-Code existiert; der Reifegrad variiert (einige zeigen nur das Lesen von Dateien).
• Eine Ausnutzung in freier Wildbahn ist für diese CVE nicht bestätigt.
• Nicht im Katalog der CISA Known Exploited Vulnerabilities aufgeführt.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Aus dem Internet erreichbare Gitea-Instanzen sofort auf die neueste stabile 1.27.x-Version aktualisieren.
• Prüfen, ob die Instanz aus dem Internet erreichbar ist und ob betroffene Versionen laufen.
• Logs auf Anfragen an Markup-Endpunkte des Repositorys prüfen, insbesondere Org-mode-Rendering und .org-Dateien.
• Falls eine Kompromittierung vermutet wird oder die Instanz verwundbar exponiert war, Geheimnisse in app.ini rotieren (INTERNAL_TOKEN, OAuth-Geheimnisse, JWT-Schlüssel, Datenbank- und Integrationszugangsdaten) und Git-Hooks auf unautorisierte Änderungen prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (3 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  FlowerWitch/CVE-2026-59774_docker · asvorg/CVE-2026-59774-poc · Ly0kha/CVE-2026-59774
• Metasploit-Modul auxiliary/gather/forgejo_orgmode_fileread_cve_2026_59774

Quellen der Recherche

• Gitea 1.27.1 release blog blog.gitea.com
• GHSA-6v53-hr58-556r security advisory github.com
• Gitea release v1.27.1 github.com
• Fix pull request #38642 github.com
• Fix pull request #38645 github.com
• OSS-security mailing list post www.openwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 17:58.