Un fallo de seguridad crítico en Gitea, rastreado como CVE-2026-59774, permite que atacantes remotos no autenticados lean archivos arbitrarios de servidores vulnerables y, potencialmente, escalen el ataque a una ejecución remota de código. El problema afecta a las versiones de Gitea desde la 1.22.1 hasta la 1.27.0 y ha sido corregido en la versión 1.27.1.

La vulnerabilidad está documentada como GHSA-6v53-hr58-556r y tiene una calificación de severidad Crítica. Posee un vector CVSS v3.1 de CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, lo que indica que la explotación puede ocurrir de forma remota, no requiere cuenta, no necesita interacción del usuario y puede comprometer la confidencialidad, integridad y disponibilidad.

El fallo existe en la función de renderizado de marcado de repositorio de Gitea. Un atacante puede enviar una solicitud manipulada al endpoint POST /{owner}/{repo}/markup de un repositorio público adecuado.

Debido a que los usuarios anónimos pueden acceder a esta ruta cuando el repositorio es público y su unidad de código está habilitada, el atacante no necesita acceso de escritura al repositorio ni una cuenta autenticada de Gitea.

Los atacantes pueden seleccionar el modo de renderizado de archivos y enviar contenido de Org-mode con un nombre de archivo .org. El renderizador de Org-mode procesa la directiva #+INCLUDE, que puede apuntar a una ruta de archivo absoluta.

Vulnerabilidad de Lectura de Archivos Arbitrarios en Gitea

En las versiones afectadas, Gitea inicializa la biblioteca go-org sin reemplazar su callback predeterminado de lectura de archivos. La biblioteca subyacente acepta la ruta suministrada y la lee directamente, utilizando los permisos de acceso a archivos del sistema operativo.

Como resultado, un atacante puede recuperar archivos legibles por la cuenta de servicio de Gitea. Los objetivos de alto valor pueden incluir el archivo de configuración app.ini, metadatos de despliegue, credenciales de OAuth, secretos relacionados con JWT, configuraciones de la base de datos y otro material de la aplicación accesible localmente.

El aviso de GitHub clasifica el fallo de Gitea como CWE-22 (salto de directorio), advirtiendo que podría conducir a la ejecución remota de código si los atacantes utilizan el INTERNAL_TOKEN expuesto para inyectar un hook de Git.

El hook malicioso podría ejecutarse entonces cuando un usuario anónimo clone un repositorio, ejecutando comandos controlados por el atacante con los permisos del usuario del sistema operativo de Gitea.

Si eres administrador de Gitea, debes actualizar inmediatamente todos los despliegues afectados a la versión 1.27.1 o a una versión posterior parcheada. Tu organización también debería revisar los registros en busca de solicitudes inusuales a los endpoints de marcado de repositorio, especialmente solicitudes que utilicen renderizado Org-mode, nombres de archivo .org o directivas de inclusión sospechosas.

Tu equipo de seguridad debe rotar las credenciales potencialmente expuestas después del parcheo, particularmente los tokens internos, secretos de OAuth, claves JWT, contraseñas de bases de datos y credenciales de integración almacenadas en app.ini.