CVE-2026-60004criticalbajo ataqueCWE-94

CVE-2026-60004: fallo crítico en Gitea

Publicada el · Actualizada el

98Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 24%
de la publicación al arma0 días
Publicada en NVD26 ago
1ª PoC29 jul
CISA KEV25 ago
probabilidad de explotación
24%top 2% de las CVE
explotación observada
síCISA + VulnCheck
24 exploit(s) público(s)
Acción exigida por CISAplazo federal: 2026-08-28

Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.

En resumen

Gitea antes de la versión 1.27.1 permite que atacantes ejecuten código malicioso en el servidor a través de la API diffpatch al explotar la instalación de hooks de Git. Esto proporciona control total del servidor sin necesidad de credenciales válidas.

Detalle técnico

La vulnerabilidad CWE-94 (Control Inadecuado de la Generación de Código) en la API diffpatch de Gitea falla al validar operaciones de hooks de Git, permitiendo ejecución remota de código sin autenticación. Un atacante puede enviar solicitudes maliciosas para instalar hooks de Git arbitrarios que se ejecutan durante operaciones de repositorio, logrando ejecución de comandos arbitrarios con privilegios del servidor.

Resumen generado y traducido por IA a partir de la descripción oficial.
Gitea before 1.27.1 allows remote code execution via the diffpatch API through Git hook installation.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
Gitea · Gitea
PoCs públicas encontradas — 24
githubgithub.com/imbas007/CVE-2026-60004-POC★ 16githubgithub.com/HORKimhab/CVE-2026-60004★ 5githubgithub.com/0xBlackash/CVE-2026-60004★ 5githubgithub.com/gagaltotal/CVE-2026-60004-poc-gitea★ 2githubgithub.com/HackSpeak/CVE-2026-60004★ 2githubgithub.com/yym8538/CVE-2026-60004★ 1githubgithub.com/EQSTLab/CVE-2026-60004★ 1githubgithub.com/InfoSec-DB/CVE-2026-60004-Gitea-Validator★ 0githubgithub.com/erberkan/CVE-2026-60004-PoC★ 0githubgithub.com/InfoSec-DB/CVE-2026-60004-Gitea-RCE-PoC★ 0githubgithub.com/shinthink/CVE-2026-60004★ 0githubgithub.com/fevar54/cve-2026-60004★ 0githubgithub.com/Sachinart/CVE-2026-60004-gitea-0day★ 0vulncheckvulncheck.com/xdb/96502114a63cno verificadovulncheckvulncheck.com/xdb/047b3fac327fno verificadovulncheckvulncheck.com/xdb/7c9ef552178cno verificadovulncheckvulncheck.com/xdb/f8c979c128a9no verificadovulncheckvulncheck.com/xdb/e8574e829446no verificadovulncheckvulncheck.com/xdb/4baed9a41e65no verificadovulncheckvulncheck.com/xdb/3916f6f37736no verificadovulncheckvulncheck.com/xdb/dc0fd3bb2456no verificadovulncheckvulncheck.com/xdb/d8c7c67f90cbno verificadovulncheckvulncheck.com/xdb/d059603984a6no verificadovulncheckvulncheck.com/xdb/47a580c18eeano verificado
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — Gitea

En el mismo producto, de las más peligrosas a las menos.

CVE-2019-1010314—CVE-2019-1010314EPSS 0.8%CVE-2019-1010261—CVE-2019-1010261EPSS 0.8%CVE-2026-73278CRITICALGitea WebAuthn bypass during OAuth and OIDC sign-inEPSS 0.5%CVE-2026-96404HIGHGitea installer authentication bypass for existing accountsEPSS 0.4%CVE-2026-34966HIGHGitea prior to 1.27.0 SSRF via Migration URI Fetch BypassEPSS 0.4%CVE-2026-104633MEDIUMGitea migration memory exhaustion from zero page sizeEPSS 0.4%
Referencias
https://blog.gitea.com/release-of-1.27.1/https://github.com/0xBlackash/CVE-2026-60004https://github.com/go-gitea/gitea/security/advisories/GHSA-rcr6-4jqh-j84mhttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-60004https://www.runzero.com/blog/gitea/