Giteaのバージョン1.22.1から1.27.0までの間に、認証なしで任意のファイルを読み取ることができる重大なセキュリティ脆弱性が発見された。この脆弱性はCVE-2026-59774として追跡され、CVSSスコアは9.8とされており、その深刻さを示している。この脆弱性はGitea 1.27.1で修正された。

この脆弱性はGiteaのOrg-modeレンダラーに存在する。Gitea 1.27.0では、go-orgをorg.New()で初期化しているが、ライブラリのデフォルトのReadFileコールバックを変更していない。go-org 1.9.1では、このコールバックはioutil.ReadFileとして設定されている。Org-modeの#+INCLUDEディレクティブは絶対パスを受け入れ、それをコールバックに渡す。攻撃者はOrg-modeマークアップを送信し、Mod:ファイルを選択し、サービスアカウントが読み取れるファイルを取得する。

Giteaは、この脆弱性が影響を受けるバージョンで使用されている場合、Giteaサービスアカウントによって読み取り可能な認証情報を明らかにし、内部トークン、OAuthマテリアル、JWT署名マテリアル、データベース認証情報を返し、クリーンアップする前にインスタンスをクリーンとして受け入れる必要がある。