Gitea Code Injection Vulnerability

Beschreibung

Gitea erlaubt vor Version 1.27.1 über die diffpatch-API durch die Installation von Git-Hooks Remote Code Execution (Gitea Code Injection Vulnerability). CVSS-Basiswert: 9.8 (Kritisch). Wird laut CISA KEV aktiv ausgenutzt; die Aufnahme in den KEV-Katalog erfolgte am 2026-08-25. Betroffen sind laut Zuordnung Installationen von Gitea, Caddy, SimpleHelp und Git.

Changelog

1. 2026-08-27 · zuletzt

   • CVSS-Basiswert ergänzt: 9.8 (vorher lag kein Score vor).
   • Schweregrad: Aktiv ausgenutzt → Kritisch.
   • Zusätzlich betroffen: simplehelp, git.

2. 2026-08-26

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage
• CISA KEV-Katalog Nachweislich aktiv ausgenutzte Schwachstellen

Weitere Schwachstellen in Gitea / Forgejo

• Gitea – Fehlende Eigentumsprüfung beim Löschen von Git-LFS-Locks CVE-2026-20897
• Gitea: Fehlerhafte Prüfung der Repository-Eigentümerschaft bei Anhängen CVE-2026-20912
• Gitea: Unzureichende Prüfung der Projekteigentümerschaft bei Organisationsprojekten CVE-2026-20750
• Forgejo – Fehlende Objektberechtigungsprüfung ermöglicht unbefugten Zugriff CVE-2023-49946
• Gitea – fehlerhafte Prüfung des Repository-Kontexts beim Löschen von Anhängen CVE-2026-20736
• Gitea: SSRF-Schutzumgehung bei HTTP-Fetch-Operationen CVE-2026-34966