Sicherheitslücke in Gitea: Private Paketquellen könnten offengelegt werden (CVE-2026-27771)
Eine Sicherheitslücke (CVE-2026-27771) wurde in Gitea-Versionen bis einschließlich 1.26.1 entdeckt. Diese Schwachstelle betrifft die Berechtigungsprüfung für Composer-Paketquellen-Links.
Was ist passiert?
Eine Sicherheitslücke (CVE-2026-27771) wurde in Gitea-Versionen bis einschließlich 1.26.1 entdeckt. Diese Schwachstelle betrifft die Berechtigungsprüfung für Composer-Paketquellen-Links. Composer ist ein Abhängigkeitsmanager für PHP-Projekte. Dadurch können private oder interne Informationen zu Software-Paketquellen offengelegt werden.
Wer ist betroffen?
Betroffen sind Unternehmen, die Gitea in den Versionen bis einschließlich 1.26.1 einsetzen. Insbesondere Organisationen, die Gitea zur Verwaltung von Software-Projekten nutzen und dabei Composer-Paketquellen verwenden, sollten die Situation prüfen. Die Schwachstelle kann die Vertraulichkeit interner Entwicklungsressourcen gefährden.
Wie kritisch ist es?
Die Kritikalität dieser Schwachstelle wird mit einem CVSS-Score von 8.2 als 'HIGH' eingestuft, was auf ein hohes Risiko hinweist. Der CVSS-Score (Common Vulnerability Scoring System) ist eine standardisierte Methode zur Bewertung der Schwere von Sicherheitslücken. Das Exploit Prediction Scoring System (EPSS) beziffert die Wahrscheinlichkeit einer Ausnutzung innerhalb der nächsten 30 Tage auf 41 %. Obwohl die Schwachstelle derzeit nicht im CISA KEV-Katalog der aktiv ausgenutzten Lücken gelistet ist, ist das hohe EPSS ein deutliches Warnsignal.
Was ist jetzt zu tun?
Prüfen Sie umgehend, welche Gitea-Version in Ihrem Unternehmen eingesetzt wird. Falls Sie eine betroffene Version bis einschließlich 1.26.1 nutzen, sollten Sie ein Update auf eine nicht betroffene Version planen und durchführen. Konsultieren Sie dazu die offiziellen Sicherheitshinweise und Update-Anleitungen von Gitea.
Quellen: NVD (CVE-2026-27771), CISA KEV, FIRST EPSS. Automatisch erstellt, redaktionell geprüft.