Um atacante não autenticado pode ler qualquer arquivo que a conta de serviço possa acessar no Gitea, plataforma Git auto-hospedada, nas versões 1.22.1 até 1.27.0. Isso é possível sem necessidade de login ou acesso de escrita a repositórios. Um repositório público e marcação Org-mode criada são suficientes. A falha é corrigida na versão Gitea 1.27.1.
Detalhes Técnicos
A vulnerabilidade é rastreada como CVE-2026-59774.
O CVE-2026-59774 foi avaliado como Crítico com uma pontuação CVSS de 9.8.
Não há dados disponíveis no CIRCL ou NVD para o CVE-2026-59774.
Ações Recomendadas
Atualize o Gitea para a versão 1.27.1 ou superior imediatamente.
Verifique se há repositórios públicos com marcação Org-mode que possam ser explorados.
Monitore os logs do servidor para detectar acessos suspeitos.
A próxima etapa é verificar a configuração do Gitea e garantir que não há repositórios vulneráveis expostos.
