https://feed.xonatec.ch/produkte/gitea Priorisierte Schwachstellen-Reports für Gitea / Forgejo. Kostenlos & offen, stündlich aktualisiert. de Thu, 27 Aug 2026 00:00:00 GMT xonatec TI-Feed RSS Generator https://feed.xonatec.ch/reports/cve-2026-60004 https://feed.xonatec.ch/reports/cve-2026-60004 Thu, 27 Aug 2026 00:00:00 GMT Gitea erlaubt vor Version 1.27.1 über die diffpatch-API durch die Installation von Git-Hooks Remote Code Execution (Gitea Code Injection Vulnerability). CVSS-Basiswert: 9.8 (Kritisch). Wird laut CISA KEV aktiv ausgenutzt; die Aufnahme in den KEV-Katalog erfolgte am 2026-08-25. Betroffen sind laut Zuordnung Installationen von Gitea, Caddy, SimpleHelp und Git. Severity: Kritisch · CVSS: 9.8 · EPSS: 82.4% · aktiv ausgenutzt (KEV) Betroffene Produkte: gitea, caddy, simplehelp, git KritischKEVGitea LtdLight Code LabsSimpleHelp LtdGit Project https://feed.xonatec.ch/reports/cve-2026-20897 https://feed.xonatec.ch/reports/cve-2026-20897 Wed, 15 Jul 2026 00:00:00 GMT Gitea prüft laut NVD beim Löschen von Git-LFS-Locks die Zugehörigkeit zum Repository nicht korrekt. Ein Benutzer mit Schreibzugriff auf ein Repository kann dadurch LFS-Locks anderer Repositories löschen. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.1 · EPSS: 0.4% Betroffene Produkte: gitea KritischGitea Ltd https://feed.xonatec.ch/reports/cve-2026-20912 https://feed.xonatec.ch/reports/cve-2026-20912 Wed, 15 Jul 2026 00:00:00 GMT Gitea validiert laut NVD die Repository-Eigentümerschaft beim Verknüpfen von Anhängen mit Releases nicht korrekt. Ein in ein privates Repository hochgeladener Anhang könnte mit einem Release in einem anderen, öffentlichen Repository verknüpft und dadurch für Unbefugte zugänglich werden. CVSS-Basiswert: 9.1 (Kritisch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.1 · EPSS: 0.4% Betroffene Produkte: gitea KritischGitea Ltd https://feed.xonatec.ch/reports/cve-2026-20750 https://feed.xonatec.ch/reports/cve-2026-20750 Wed, 15 Jul 2026 00:00:00 GMT Gitea prüft bei Operationen an Organisationsprojekten die Projekteigentümerschaft nicht korrekt. Ein Benutzer mit Schreibrechten auf Projekte einer Organisation kann dadurch möglicherweise Projekte verändern, die einer anderen Organisation gehören. CVSS-Basiswert: 9.1 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Kritisch · CVSS: 9.1 · EPSS: 0.4% Betroffene Produkte: gitea KritischGitea Ltd https://feed.xonatec.ch/reports/cve-2023-49946 https://feed.xonatec.ch/reports/cve-2023-49946 Mon, 20 Jul 2026 00:00:00 GMT In Forgejo vor Version 1.20.5-1 prüfen bestimmte Endpunkte nicht, ob ein Objekt zu dem Repository gehört, für das die Berechtigungen geprüft werden. Dadurch können entfernte Angreifer private Issues und Pull Requests lesen, Issues löschen und weitere unbefugte Aktionen ausführen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: auf Forgejo 1.20.5-1 oder neuer aktualisieren. Severity: Kritisch · CVSS: 9.1 Betroffene Produkte: gitea KritischGitea Ltd https://feed.xonatec.ch/reports/cve-2026-20736 https://feed.xonatec.ch/reports/cve-2026-20736 Sun, 19 Jul 2026 00:00:00 GMT Gitea prüft den Repository-Kontext beim Löschen von Anhängen nicht korrekt. Ein Nutzer, der zuvor einen Anhang in ein Repository hochgeladen hat, kann diesen unter Umständen auch nach dem Verlust des Zugriffs auf jenes Repository löschen, indem er die Anfrage über ein anderes, für ihn zugängliches Repository stellt. Betroffen ist die Integrität. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Hoch · CVSS: 7.5 · EPSS: 0.4% Betroffene Produkte: gitea HochGitea Ltd https://feed.xonatec.ch/reports/cve-2026-34966 https://feed.xonatec.ch/reports/cve-2026-34966 Wed, 05 Aug 2026 00:00:00 GMT Gitea ermöglicht in Versionen vor 1.27.0 authentifizierten Angreifern, bestehende SSRF-Schutzmassnahmen zu umgehen, indem sie HTTP-Fetch-Operationen bei der Migration und beim Abrufen von OAuth-Avataren ausnutzen. CVSS-Basiswert: 7.6 (Hoch). Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Severity: Hoch · CVSS: 7.6 · EPSS: 0.3% Betroffene Produkte: gitea HochGitea Ltd https://feed.xonatec.ch/reports/cve-2025-68939 https://feed.xonatec.ch/reports/cve-2025-68939 Mon, 20 Jul 2026 00:00:00 GMT Gitea vor Version 1.23.0 erlaubt es Angreifern, Anhänge mit eigentlich verbotenen Dateiendungen hinzuzufügen, indem der Name eines Anhangs über die Attachment-API bearbeitet wird. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: Update auf Gitea 1.23.0 oder neuer. Severity: Hoch · CVSS: 8.2 Betroffene Produkte: gitea HochGitea Ltd https://feed.xonatec.ch/reports/cve-2023-49947 https://feed.xonatec.ch/reports/cve-2023-49947 Fri, 31 Jul 2026 00:00:00 GMT In Forgejo vor Version 1.20.5-1 kann die Zwei-Faktor-Authentifizierung umgangen werden, wenn der Docker-Login Basic Authentication verwendet. Ein Angreifer kann dadurch den zusätzlichen Schutz der Zwei-Faktor-Authentifizierung aushebeln. CVSS-Basiswert: 7.5 (Hoch). Severity: Hoch · CVSS: 7.5 Betroffene Produkte: gitea HochGitea Ltd https://feed.xonatec.ch/reports/cve-2026-20800 https://feed.xonatec.ch/reports/cve-2026-20800 Mon, 03 Aug 2026 00:00:00 GMT Für Gitea beziehungsweise Forgejo ist CVE-2026-20800 in den Security Advisories des Projekts auf GitHub verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Severity: Mittel · EPSS: 0.4% Betroffene Produkte: gitea MittelGitea Ltd