CVE-2026-60004

Gitea anterior a 1.27.1 permite abusar de la API diffpatch para instalar un hook de Git — un script que Git ejecuta automáticamente en eventos del repositorio, como la recepción de un push. Al escribir un hook controlado por el atacante a través de esa ruta de la API, una operación de repositorio de apariencia normal se convierte en ejecución de código arbitrario en el servidor que aloja el repositorio, ya que el hook malicioso se ejecuta con los privilegios del proceso Gitea la próxima vez que se dispare su evento desencadenante.

Gitea es un servicio Git autoalojado y, aunque muchas instancias son internas, con frecuencia se exponen para el acceso de desarrolladores y de CI, lo que coloca un punto de apoyo de ejecución de código de lleno en la cadena de suministro de software: el código fuente, las credenciales almacenadas y los pipelines de compilación están todos al alcance. Actualice a 1.27.1 o posterior, restrinja quién puede alcanzar la API afectada y las funciones de administración de repositorios, y audite los repositorios en busca de hooks del lado del servidor inesperados, ya que un hook plantado persiste hasta que alguien lo elimine, independientemente del parche.