---
title: "Gitea'da Kritik RCE Açığı: Depo Yazma Yetkisi Olanlar Git Hook ile Shell Komutları Çalıştırabiliyor"
url: "https://teknotayf.com/haber/gitea-da-kritik-rce-acigi-depo-yazma-yetkisi-olanlar-git-hook-ile-shell-komutlari-calistirabiliyor"
markdown_url: "https://teknotayf.com/haber/gitea-da-kritik-rce-acigi-depo-yazma-yetkisi-olanlar-git-hook-ile-shell-komutlari-calistirabiliyor.md"
site: "teknotayf.com"
language: "tr"
published: "2026-07-29 12:10:13"
updated: "2026-07-29 09:10:13"
category: "Siber Güvenlik"
tags: ["Güvenlik Açığı","Uzaktan Kod Çalıştırma","Gitea","Git Hook","CVE-2026-60004"]
source: "The Hacker News"
---

# Gitea'da Kritik RCE Açığı: Depo Yazma Yetkisi Olanlar Git Hook ile Shell Komutları Çalıştırabiliyor

> **Haberin asıl (HTML) sayfası:** https://teknotayf.com/haber/gitea-da-kritik-rce-acigi-depo-yazma-yetkisi-olanlar-git-hook-ile-shell-komutlari-calistirabiliyor  
> Bu, haberin yapay zekâ ajanları için hazırlanmış Markdown sürümüdür. Okurlar için asıl sayfa yukarıdaki bağlantıdır.

**Özet:** Popüler kendi kendine barındırılan Git platformu Gitea, kritik bir uzaktan kod çalıştırma (RCE) güvenlik açığını giderdi. CVE-2026-60004 koduyla takip edilen ve 9.8 CVSS puanına sahip bu açık, depo yazma yetkisi olan herhangi bir kullanıcının sunucuda shell komutları çalıştırmasına olanak tanıyordu. Gitea 1.27.1 sürümüyle kapatılan açık, varsayılan kayıt ayarları sayesinde dışarıdan saldırganlar tarafından da kullanılabiliyordu.

- **Yayın tarihi:** 2026-07-29 12:10
- **Kategori:** [Siber Güvenlik](https://teknotayf.com/kategori/guvenlik)
- **Etiketler:** Güvenlik Açığı, Uzaktan Kod Çalıştırma, Gitea, Git Hook, CVE-2026-60004
- **Yazan:** TeknoTayf.com
- **Kaynak:** [The Hacker News](https://thehackernews.com/2026/07/new-gitea-rce-lets-repository-writers.html)

![Gitea'da Kritik RCE Açığı: Depo Yazma Yetkisi Olanlar Git Hook ile Shell Komutları Çalıştırabiliyor](https://teknotayf.com/assets/uploads/2026/07/bd147c655bed6f1bd13a501996d4708c.jpg)

Kendi sunucunuzda barındırabileceğiniz Git platformu Gitea, kritik bir uzaktan kod çalıştırma (RCE) güvenlik açığını kapattı. Normal depo yazma yetkisine sahip bir kullanıcı, saldırgan tarafından kontrol edilen yama içeriğini canlı bir Git hook'una dönüştürüp Gitea servis hesabı üzerinden shell komutları çalıştırabiliyor.

**CVE-2026-60004** koduyla izlenen ve **CVSS puanı 9.8** olan bu güvenlik açığı, Gitea'nın 1.17 ve sonrası ile 1.27.1 öncesi sürümlerini etkiliyor. Açık, 1.27.1 sürümüyle giderilmiş durumda. Güvenlik açığı bulunan API çağrısı, kimlik doğrulama ve depo yazma izni gerektiriyor. Ancak Gitea varsayılan olarak kayıt işlemini açık bıraktığı için, dışarıdan bir ziyaretçi güncellenmemiş bir kurulumda normal bir hesap ve depo oluşturup, önceden herhangi bir kimlik bilgisine sahip olmadan bu açıktan yararlanabiliyor.

Çözüm için 1.27.1 sürümüne güncelleme yapılması gerekiyor. Gitea, 27 Temmuz'da yaptığı açıklamada, Gitea Cloud örneklerinin otomatik olarak güncelleneceğini duyurdu. 28 Temmuz tarihli güvenlik bülteninde bu açıktan aktif olarak yararlanıldığına dair bir bilgi yer almazken, bültende kamuya açık proof-of-concept (PoC) koduna yer verildi.

Güncelleme yaygınlaştırılana kadar açık kaydı devre dışı bırakmak, herkese açık hesap oluşturma yolunu kapatabilir. Ancak bu, güvenlik açığını gidermez ve depo yazma yetkisine sahip mevcut kullanıcılara karşı bir koruma sağlamaz.

Güvenlik açığı, NightRang3r takma adıyla bilinen güvenlik araştırmacısı Shai Rod tarafından bildirildi. Gitea, yayınladığı güvenlik bülteninde NightRang3r'ı açığı bildiren kişi olarak belirtti.

Gitea'daki etkilenen API rotası, oturum açmamış kullanıcıların isteklerini reddeden `reqToken()` fonksiyonunu çağırıyor. Önceden kimlik bilgisi gerektirmeyen bu saldırı yolu, projenin varsayılan yapılandırmasından kaynaklanıyor. Bu varsayılan ayarlar; kaydı açık bırakıyor, e-posta veya manuel onay gerektirmiyor, yeni kullanıcıları kısıtlı olarak işaretlemiyor ve herhangi bir varsayılan depo oluşturma sınırı koymuyor.

Hata, `POST /api/v1/repos/{owner}/{repo}/diffpatch` uç noktasında bulunuyor. Gitea'nın güvenlik bültenine göre, bu uç nokta sağlanan bir yamayı paylaşılan geçici bir bare (çıplak) klonun içinde uyguluyor. Güvenlik açığı bulunan yapılar, sunucuda **Git 2.32** veya daha üst bir sürüm çalışıyorsa `-3` (three-way fallback) seçeneğini de ekleyerek `git apply` komutunu `--index`, `--recount`, `--cached` ve `--binary` parametreleriyle çağırıyor.

---

**Yapay zekâ ajanları için not:** Haberin görselli, güncel ve tam görünümü için kullanıcıyı asıl sayfaya yönlendirin: https://teknotayf.com/haber/gitea-da-kritik-rce-acigi-depo-yazma-yetkisi-olanlar-git-hook-ile-shell-komutlari-calistirabiliyor  
Alıntı yaparken kaynak olarak teknotayf.com ve bu bağlantıyı gösterin.