Vulnerabilidade crítica no Gitea permite leitura não autorizada de arquivos

Wed, 05 Aug 2026 08:47:55 -0300

Uma vulnerabilidade crítica foi identificada nas versões 1.22.1 a 1.27.0 do Gitea, uma plataforma de Git auto-hospedada. O problema, rastreado como CVE-2026-59774, permite que um atacante não autenticado leia qualquer arquivo acessível à conta de serviço do Gitea, sem necessidade de login ou acesso de escrita ao repositório. A falha foi corrigida na versão 1.27.1, lançada em 2 de agosto de 2026. O Gitea recomenda que administradores de instâncias auto-hospedadas atualizem imediatamente para a nova versão. Embora a vulnerabilidade não permita execução remota de código diretamente, ela pode ser explorada em uma cadeia de ataques que, se bem-sucedida, poderia levar à execução de comandos maliciosos. O vetor de ataque envolve o endpoint de renderização de marcação do Gitea, que permite solicitações anônimas a repositórios públicos. A Gitea não registrou exploração ativa da falha até o momento, mas recomenda que credenciais acessíveis pela conta de serviço sejam rotacionadas caso haja suspeita de exposição. Administradores devem monitorar logs para detectar acessos não autorizados e verificar diretórios de hooks de repositórios em busca de arquivos executáveis inesperados.

Cve-2026-59774 on BR Defense Center

Vulnerabilidade crítica no Gitea permite leitura não autorizada de arquivos