Uma vulnerabilidade crítica de execução de código remoto (RCE) foi descoberta no Gitea, uma plataforma Git auto-hospedada. A falha, que afeta as versões 1.17 e posteriores até 1.27.1, permite que usuários com acesso de escrita comum ao repositório implantem um hook Git controlado por atacante para executar comandos shell como a conta de serviço do Gitea. A vulnerabilidade é rastreada como CVE-2026-60004.
Detalhes Técnicos
CVE-2026-60004: Vulnerabilidade de execução de código remoto no Gitea.
CVSS: 9.8.
Versões Afetadas: Gitea 1.17 a 1.27.1.
Versão Corrigida: 1.27.1.
Exploração: Usuários com acesso de escrita ao repositório podem explorar a vulnerabilidade implantando um hook Git malicioso.
Recomendações
Atualize para a versão 1.27.1 do Gitea imediatamente.
Restrinja o acesso de escrita aos repositórios para usuários confiáveis.
Monitore os logs do Gitea para atividades suspeitas.
A CVE-2026-60004 não foi encontrada nos bancos de dados CIRCL ou NVD; portanto, as informações fornecidas são baseadas nos dados disponíveis localmente.
