CVE-2026-59774

Kritik

Açıklama

Gitea'nın Org-mode işaretleme oluşturucusu, depo işaretleme uç noktasına iletilen INCLUDE direktiflerini sunucu tarafındaki dosyalara erişimi engellemeden işlemektedir. Kimliği doğrulanmamış bir saldırgan, uygun bir genel depoyu kullanarak Gitea servis hesabının erişebildiği dosyaları okuyabilir. Açığa çıkan dosyalar app.ini ve onun INTERNAL_TOKEN değerini içeriyorsa, saldırgan bu sızıntıyı dahili günlükleyici erişimiyle birleştirerek bir Git kancasını değiştirebilir ve Gitea servis hesabı olarak komutlar çalıştırabilir.

ÖnemKritik

CVSS9.8

İstismar olasılığı—

Ürün

Gitea

Yayın14 Eki 2026

İlk görülme14 Eki 2026

Zayıflık türüCWE-22Dizin geçişi (path traversal)

Nasıl düzeltilir

Güncelleyin

Gitea Gitea1.27.1 ya da sonraki bir sürüm

Yamalar

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
Gitea Gitea	1.22 ≤ v < 1.27.1	1.27.1

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.