Gitea 1.27.1 से पहले के संस्करण diffpatch API के माध्यम से Git हुक स्थापना के जरिए रिमोट कोड निष्पादन की अनुमति देते हैं।
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
Gitea 1.27.1 से पहले के संस्करण diffpatch API के माध्यम से Git हुक स्थापना के जरिए रिमोट कोड निष्पादन की अनुमति देते हैं।
http/cves/2026/CVE-2026-60004.yaml
CVE-2026-60004
Gitea diffpatch RCE
Gitea 1.27.1 से पहले Git hook इंस्टॉलेशन के माध्यम से diffpatch API के ज़रिए remote code execution की अनुमति देता है।
CVE-2026-60004 — Gitea में diffpatch हुक इंजेक्शन के माध्यम से बिना प्रमाणीकरण के RCE
# Gitea diffpatch RCE (CVE-2026-60004) PoC - रिपॉजिटरी-राइट से Gitea सेवा खाते के रूप में RCE
CVE-2026-60004 प्री-ऑथ RCE एक्सप्लॉइट — Gitea <= 1.27.0 diffpatch git हुक इंजेक्शन (CVSS 9.8)
CVE-2026-60004 — Gitea <= 1.27.0 प्री-ऑथ RCE
CVE-2026-60004 — Gitea/Forgejo Diffpatch Git Hook RCE। Bare clone → post-index-change hook इंजेक्शन। CVSS 9.8 | CWE-94 | Gitea < 1.27.1
CVE-2026-60004 के लिए स्वचालित proof-of-concept exploit, एक Gitea diffpatch Git hook RCE जो service account के रूप में reverse shell प्राप्त करने के लिए post-index-change hook स्थापित करता है।
Gitea के diffpatch एंडपॉइंट के माध्यम से एक गंभीर प्री-ऑथ रिमोट कोड एक्ज़ीक्यूशन भेद्यता का पता लगाता है और उसका शोषण करता है, जिसमें एक गैर-हस्तक्षेपकारी डिटेक्टर और शोषण स्क्रिप्ट शामिल है।
CVE-2026-60004
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।