Wenn du deinen eigenen Git-Server betreibst, solltest du jetzt kurz durchatmen — und dann handeln. Eine frisch offengelegte Lücke in Gitea erlaubt es völlig Fremden, ohne Login Dateien von deinem Server zu lesen. Und in bestimmten Konfigurationen wird daraus sogar eine komplette Server-Übernahme.
ALARM: Eine Textdatei genügt
Die Schwachstelle heißt CVE-2026-59774 und steckt im sogenannten Org-Mode-Renderer von Gitea — dem Baustein, der bestimmte Textdateien in deinen Repositories hübsch darstellt. Über eine präparierte Org-Mode-Datei in einem öffentlichen Repository kann ein Angreifer den Server dazu bringen, beliebige Dateien außerhalb des Repos auszulesen. Fachleute nennen das Path Traversal — der Angreifer klettert sozusagen aus dem erlaubten Ordner heraus.
Der Wert ist mit CVSS 9.8 praktisch am Maximum. Weder ein Login noch eine Nutzer-Interaktion sind nötig.
SCHOCK: Vom Datei-Leck zum Root-Zugriff
Besonders brisant wird es, wenn der Angreifer die Datei app.ini erwischt. Darin steht der interne Token deiner Gitea-Installation. Mit diesem INTERNAL_TOKEN lässt sich über den internen Logger ein bösartiger Git-Hook einschleusen — und bei einem simplen anonymen Klon-Vorgang führt dein Server dann fremde Befehle aus. Aus „nur Lesen“ wird so schnell Remote Code Execution unter dem Benutzer, unter dem Gitea läuft.
Voraussetzung: mindestens ein öffentliches Repository mit aktivierter Code-Ansicht und Standard-Speicherrechten. Genau so laufen die meisten Homelab-Gitea-Server.
So patchst du deinen Server RICHTIG
Betroffen sind die Versionen 1.22.1 bis 1.27.0. Der Fix steckt in Gitea 1.27.1. Wer Gitea per Docker betreibt, zieht das neue Image und startet den Container neu:
docker compose pull && docker compose up -d
EXTRA-TIPP: Nach dem Update solltest du deinen INTERNAL_TOKEN vorsichtshalber rotieren — falls jemand die app.ini schon abgegriffen hat, ist der alte Token damit wertlos. Prüfe außerdem, ob dein Gitea überhaupt aus dem Internet erreichbar sein muss. Hinter einem VPN oder Reverse Proxy schläft es sich ruhiger.
FAZIT: Selbst-Hosting heißt Selbst-Patchen
Bis Stand 5. August war die Lücke nicht in der offiziellen KEV-Liste der US-Behörde CISA — mehrere Quellen berichten aber bereits über Ausnutzung. Die Kombination aus fehlender Authentifizierung, öffentlichem Exploit-Wissen und tausenden erreichbaren Instanzen macht diese Lücke zum Selbstläufer. Update rein, Token tauschen, fertig.