Gitea

CISA เตือนว่าช่องโหว่ CVE-2026-60004 (CVSS 9.8) ใน Gitea กำลังถูกใช้โจมตีจริงและเพิ่มเข้าแคตตาล็อก KEV เมื่อ 25 สิงหาคม 2569 ช่องโหว่นี้เปิดให้ผู้ที่มีสิทธิ์เขียน repo ส่ง patch ไปยัง endpoint diffpatch เพื่อฝัง Git hook แล้วรันคำสั่งเชลล์ด้วยสิทธิ์บัญชีระบบของ Gitea กระทบทุกเวอร์ชันตั้งแต่ 1.17 และแก้แล้วใน 1.27.1 นักพัฒนารายหนึ่งเปิดเผยว่าเซิร์ฟเวอร์ของตนถูกวางสคริปต์ปล่อยเพย์โหลดลักษณะตัวขุดเหรียญจนผู้ให้บริการโฮสต์จำกัดซีพียู หน่วยงานรัฐบาลกลางสหรัฐฯ ต้องแพตช์ภายใน 28 สิงหาคม 2569

Gitea แพลตฟอร์ม Git แบบติดตั้งเอง มีช่องโหว่ระดับวิกฤต CVE-2026-59774 (CVSS 9.8) ที่เปิดให้ผู้โจมตีซึ่งไม่ต้องล็อกอินอ่านไฟล์ใดก็ได้ที่บัญชีระบบของ Gitea เข้าถึงได้ เพียงส่ง Org-mode markup ที่ประดิษฐ์ขึ้นไปยัง endpoint สำหรับเรนเดอร์ข้อความ โดยต้องมี repository สาธารณะบนระบบเป็นเงื่อนไข กระทบเวอร์ชัน 1.22.1 ถึง 1.27.0 และแก้ไขแล้วใน 1.27.1 ซึ่งเป็นเวอร์ชันเดียวกับที่ปิดช่องโหว่ RCE CVE-2026-60004

Gitea แพลตฟอร์ม Git แบบติดตั้งเอง ออกเวอร์ชัน 1.27.1 อุดช่องโหว่รันโค้ดระยะไกล CVE-2026-60004 (CVSS 9.8) ที่เปิดให้ผู้ใช้ซึ่งมีสิทธิ์เขียน repo ส่ง patch ซ้ำสองครั้งจนวางไฟล์ลงในไดเรกทอรี hook ของ Git แล้วรันคำสั่งด้วยสิทธิ์บัญชีระบบของ Gitea กระทบเวอร์ชัน 1.17 ถึงก่อน 1.27.1 และเนื่องจากค่าเริ่มต้นเปิดให้สมัครสมาชิกเองได้ คนนอกจึงสร้างบัญชีแล้วโจมตีได้ทันที มีโค้ด PoC เผยแพร่แล้ว

บริษัท Sysdig พบความพยายามโจมตีช่องโหว่ CVE-2026-20896 (CVSS 9.8) ใน Gitea Docker image เป็นครั้งแรกหลังเปิดเผย 13 วัน ต้นตอคือ image ฮาร์ดโค้ด REVERSE_PROXY_TRUSTED_PROXIES เป็น * ทำให้เชื่อ header X-WEBAUTH-USER จากทุก IP ผู้โจมตีที่เข้าถึงพอร์ตได้จึงปลอมตัวเป็นผู้ใช้ใด ๆ รวมถึง admin โดยไม่ต้องรหัสผ่าน กระทบเวอร์ชันถึง 1.26.2 แก้ไขแล้วใน 1.26.3 มี Gitea เปิดสู่อินเทอร์เน็ตราว 6,200 เครื่อง

Noscope เปิดเผย CVE-2026-27771 ช่องโหว่ใน Gitea ที่ทำให้ผู้ใด้ก็ตามบนอินเทอร์เน็ตดึง private container image ออกไปได้โดยไม่ต้องมีบัญชีหรือรหัสผ่าน กระทบ Gitea ทุกเวอร์ชันก่อน 1.26.2 และ Forgejo fork ด้วย คาดมีมากกว่า 30,000 deployment ที่ได้รับผลกระทบ ช่องโหว่อยู่ในระบบมากกว่า 4 ปีโดยไม่ถูกตรวจพบ