Aktualisieren Sie alle Gitea-Instanzen umgehend auf Version 1.27.1 oder höher.
▸▾Herleitung der Bewertung(3)
Wie der Wert zustande kommt
- Hoechster CVSS-Basiswert 9.8+18
- Ohne Anmeldung ueber das Netz ausnutzbar (CVE-2026-59774, CVSS-Vektor AV:N/PR:N)+10
- EPSS 28.3 % Ausnutzungswahrscheinlichkeit binnen 30 Tagen+4
Woraus sich die Konfidenz ergibt
- Nur ein Herausgeber — keine Gegenlesung
- Darunter eine behoerdliche Primaerquelle
- Strukturierte CVE-Daten aus der NVD vorhanden
Die Konfidenz misst die Belegqualität, nicht die Schwere.
Bewertung v1.2, deterministisch berechnet. Bedrohungswert und Konfidenz sind getrennte Größen.Methodik
[UPDATE] [hoch] Gitea: Schwachstelle ermöglicht Offenlegung von Informationen und Codeausführung
Eine kritische Schwachstelle in Gitea (Versionen <1.27.1 und 1.27.1) ermöglicht anonymen Angreifern die Ausführung beliebigen Codes und die Offenlegung von Informationen. Betroffen sind alle Plattformen, auf denen Gitea läuft, wie Linux, Windows und UNIX. Nutzer sollten umgehend auf eine sichere Version aktualisieren, um das Risiko zu minimieren.
SecBoard-Einordnung
Die Schwachstelle ermöglicht unauthentifizierten, entfernten Angreifern die vollständige Kontrolle über die Gitea-Instanz, was zu Codeausführung und Offenlegung sensibler Daten führen kann. Dies kann die Integrität und Vertraulichkeit von Code-Repositories und Entwicklungsumgebungen erheblich gefährden.
Realistisch schlimmster Fall: Ein unauthentifizierter Angreifer könnte beliebigen Code auf dem Server ausführen, auf dem Gitea läuft, und sensible Informationen preisgeben, was zu einem vollständigen Systemkompromiss und Datenexfiltration führen könnte.
Im erfassten Bestand
- ▸CVE-2026-59774 kommt damit in 3 erfassten Meldungen der letzten 90 Tage vor.
Gezählt im eigenen Bestand, rückwärts ab dem Erscheinungsdatum. Das ist Belegstärke, keine Aussage über die Häufigkeit in der Welt.
Key Facts
- CVSS
- 9.8 · CRITICAL
- EPSS
- 28.3%
- Über das Netz
- ja
- Anmeldung nötig
- nein
- Nutzerinteraktion nötig
- nein
- Angriffskomplexität
- niedrig
- Beeinträchtigt
- Vertraulichkeit, Integrität, Verfügbarkeit
- Patch
- unbekannt
Betroffen
Organisationen, die Gitea-Instanzen auf Linux, Windows oder UNIX mit Versionen vor 1.27.1 betreiben.
Prüfen
4- ▸Überprüfen Sie alle Gitea-Instanzen auf ihre aktuelle Version und stellen Sie sicher, dass diese 1.27.1 oder höher ist.
- ▸Scannen Sie Ihre Gitea-Server auf ungewöhnliche Netzwerkaktivitäten oder unbekannte Prozesse, die auf eine Kompromittierung hindeuten könnten.
▸ 2 weitere▾ weniger
- ▸Überprüfen Sie die Zugriffslogs Ihrer Gitea-Instanzen auf Anzeichen von unautorisierten Zugriffen oder verdächtigen Aktivitäten.
- ▸Stellen Sie sicher, dass Ihre Gitea-Instanzen nicht direkt aus dem Internet erreichbar sind, es sei denn, dies ist unbedingt erforderlich, und verwenden Sie eine Web Application Firewall (WAF).
Offene Punkte
3▸ anzeigen▾ ausblenden
- ▸Es ist nicht spezifiziert, welche spezifischen Informationen offengelegt werden könnten.
- ▸Der genaue Mechanismus der Codeausführung ist nicht detailliert beschrieben.
- ▸Es ist nicht bekannt, ob diese Schwachstelle bereits aktiv ausgenutzt wird.
Red-Team-Relevanz
Was heißt das für dein nächstes Assessment?
▸ Einordnung anzeigen▾ Einordnung ausblenden
- Initial Access möglich?Unklar
- Privilege Escalation relevant?Unklar
- Exploit öffentlich verfügbar?Möglich
- Detection / Logging prüfbar?Möglich
- Für Purple-Team-Szenario geeignet?Unklar
Kundenfragen
- Haben wir Windows extern erreichbar?
MITRE ATT&CK(3)
Techniken aus allen Quellen zusammengeführt — nach Stärke des Belegs sortiert.
„Offenlegung von Informationen“
„ermöglicht anonymen Angreifern die Ausführung beliebigen Codes“
„Offenlegung von Informationen“
Mehrere Herkünfte bei derselben Technik heißt: mehrere unabhängige Wege führen dorthin.
Quellen & Belege· 1 Quelle
Behoerdliche Veroeffentlichung mit Amtspflicht zur Richtigkeit, frei zugaenglich.
- Nur eine Quelle — der Sachverhalt ist an keiner zweiten Stelle gegengelesen.
Verknüpfte Intelligence
Dieselben Entitäten an anderer Stelle auf SecBoard.
CVE-Profile