Gitea, 1.22.1 ile 1.27.0 arasındaki sürümlerini etkileyen ve CVE-2026-59774 olarak izlenen kritik dosya okuma açığını 1.27.1 ile kapattı. Açık, public bir depo üzerinden Org-mode biçimlendirmesi kullanılarak servis hesabının okuyabildiği dosyaların içeriğini sızdırabiliyor; Gitea, bazı koşullarda bunun komut çalıştırma zincirine dönüşebileceğini ve yöneticilerin 1.27.1’e geçmesi gerektiğini açıkladı.
Gitea’da CVE-2026-60004 kodlu, CVSS 9.8 puanlı kritik bir açık 1.27.1 ile kapatıldı. Hata, varsayılan açık kayıt nedeniyle dışarıdan oluşturulabilen hesaplarla repository yazma yetkisi üzerinden uzaktan kod çalıştırmaya kadar uzanabiliyor. 27-28 Temmuz tarihlerindeki duyurularda otomatik yükseltme, PoC kodu ve ayrı bir dosya dahil etme düzeltmesi de yer aldı.
Grok Build adlı yapay zeka destekli kod asistanının, yalnızca işlem yaptığı dosyalarla sınırlı kalmayıp tüm git depolarını xAI'nin bulut servisine yüklediği ortaya çıktı. Bu durum, gizli anahtarlar ve geçmiş commit'ler dahil olmak üzere çok büyük miktarda verinin izinsiz olarak aktarıldığını gösteriyor. Kullanıcı ayarlarının bu veri aktarımını engelleyememesi, yazılım geliştirme süreçlerinde yeni güvenlik riskleri doğuruyor.
Anthropic tarafından geliştirilen MCP Git sunucusunda, Haziran 2025'te keşfedilen ve sorumlu açıklama sonrası giderilen üç önemli güvenlik açığı, uzaktan kod çalıştırma ve dosya sistemine yetkisiz erişim riskleri barındırıyor. Bu zafiyetler, yapay zeka asistanlarının okuduğu içeriklere yönelik prompt enjeksiyonu yoluyla istismar edilebiliyor ve geniş MCP ekosisteminde güvenlik incelemelerini zorun
CISA, Citrix Session Recording ve Git'te tespit edilen üç kritik güvenlik açığını KEV kataloğuna ekledi. Citrix açıkları yetki yükseltme ve uzaktan kod yürütme riskleri taşırken, Git'teki açık rastgele kod yürütülmesine olanak sağlıyor. Federal ajanslar, bu tehditlere karşı önlemlerini 2025 sonuna kadar tamamlamak zorunda.