CVE-2026-60004

O Gitea anterior a 1.27.1 permite que a API diffpatch seja abusada para instalar um Git hook — um script que o Git executa automaticamente em eventos do repositório, como o recebimento de um push. Ao gravar um hook controlado pelo atacante por meio desse caminho da API, uma operação de repositório de aparência comum é transformada em execução arbitrária de código no servidor que hospeda o repositório, já que o hook malicioso é executado com os privilégios do processo Gitea na próxima vez que seu evento desencadeador ocorrer.

O Gitea é um serviço Git auto-hospedado e, embora muitas instâncias sejam internas, elas são frequentemente expostas para acesso de desenvolvedores e de CI, o que coloca uma posição inicial de execução de código diretamente na cadeia de suprimentos de software: código-fonte, credenciais armazenadas e pipelines de build ficam todos ao alcance. Atualize para 1.27.1 ou posterior, restrinja quem pode alcançar a API afetada e os recursos de administração de repositórios e audite os repositórios em busca de hooks do lado do servidor inesperados, já que um hook plantado persiste até que alguém o remova, independentemente da correção.