Gitea 1.27.1 Corrige Falhas Críticas de Leitura de Arquivo Arbitrária e RCE

A atualização do Gitea para a versão 1.27.1 é crítica. Ela corrige duas vulnerabilidades de segurança graves, descobertas pela xbow-security e NightRang3r, que não exigiam autenticação para serem exploradas. A primeira, CVE-2026-59774, permitia a leitura arbitrária de arquivos em servidores que utilizam o renderizador Org-mode, especialmente via a diretiva #+INCLUDE. Isso abre caminho para a exfiltração de dados sensíveis ou informações de configuração do sistema.

A segunda, CVE-2026-60004, era ainda mais alarmante: possibilitava a execução remota de código (RCE). Um atacante podia explorar a API diffpatch para instalar um Git hook malicioso no sistema. Ambas as falhas comprometiam as versões de 1.22.1 a 1.27.0 e, por não exigirem autenticação ou interação do usuário, representavam um vetor de ataque direto e de alto impacto para os ambientes Gitea afetados.

Para organizações que utilizam o Gitea como sua plataforma de gerenciamento de código-fonte, a correção dessas vulnerabilidades é uma prioridade máxima. A capacidade de um atacante não autenticado ler arquivos arbitrários pode levar ao vazamento de credenciais, configurações ou mesmo o próprio código-fonte. Já a execução remota de código concede ao invasor controle total sobre o servidor, permitindo desde a manipulação de repositórios até o acesso a outros sistemas na rede.

Este incidente reforça a necessidade de vigilância constante e aplicação rápida de patches em plataformas de desenvolvimento. Falhas em sistemas como Gitea, GitLab ou GitHub são especialmente visadas por atacantes, pois um comprometimento aqui pode ter um efeito cascata em todo o ciclo de desenvolvimento de software de uma empresa.