Eine kritische Sicherheitslücke in Gitea ermöglicht laut offizieller GitHub-Sicherheitsmeldung die Ausführung beliebiger Shell-Befehle auf dem Server. Die Schwachstelle CVE-2026-60004 betrifft den diffpatch-Endpunkt und kann über manipulierte Repository-Inhalte zur Installation eines Git-Hooks missbraucht werden.
Für den Angriff genügt gewöhnlicher Schreibzugriff auf ein Repository. Bei einer offen konfigurierten Registrierung kann sich ein Angreifer laut Advisory selbst ein Konto anlegen und ein Repository erstellen. Die Ausführung erfolgt mit den Rechten des Gitea-Betriebssystemkontos. Dadurch können unter anderem Zugangsdaten ausgelesen oder Build-Ergebnisse von Softwareprojekten manipuliert werden.
Gitea 1.27.1 enthält die Korrektur
Als korrigierte Version nennt das Advisory Gitea 1.27.1. Der offizielle Gitea-Blog empfiehlt für die 1.27-Reihe zusätzlich Version 1.27.2, die weitere Sicherheitsfehler behebt. Für Spiele- und IT-Teams mit selbst betriebenen Repositories gehört die Prüfung der Registrierung und der Schreibrechte neben dem Update zur unmittelbaren Reaktion. Der Bericht zu Schadcode in GitHub-Archiven behandelt ein anderes Risiko in Entwicklerplattformen.