Vulnerabilità · 47 giorni fa

Gitea espone RCE anche agli account creati al volo

Il punto debole non è solo la scrittura nel repository. Su un’installazione Gitea lasciata nelle impostazioni di default, un esterno può creare l’account e il repository necessari per arrivare alla scrittura, e da lì trasformare una patch in esecuzione di comandi come l’account del servizio. In pratica, un controllo pensato per i collaboratori diventa raggiungibile da chiunque possa registrarsi.

Gitea ha corretto CVE-2026-60004 in 1.27.1. La falla riguarda le versioni 1.17 fino a 1.27.0 e il bollettino include codice PoC pubblico, quindi la riproduzione è immediata anche senza conferme di sfruttamento in produzione. Il caso conta soprattutto per gli ambienti self-hosted che lasciano aperta la registrazione o permettono la creazione libera di repository.

Il rischio non si esaurisce con la patch della singola istanza già compromessa: se la registrazione resta aperta fino all’aggiornamento, la via d’ingresso resta pubblica. Per chi gestisce Gitea on-premise, la versione corretta è il punto di rottura, non un dettaglio amministrativo.

CVE-2026-60004

NVD KEV

Sfruttamento noto · CISA KEV

Data di correzione federale CISA 28 ago

Cronologia

28 ago Scadenza federale CISA per CVE-2026-60004
25 ago CVE-2026-60004 aggiunto al KEV CISA
29 lug Segnalato da The Hacker News

Fonti

1 fonte che coprono questa storia

The Hacker News 29 lug
New Gitea RCE Lets Repository Writers Plant a Git Hook to Run Shell Commands
Gitea fixes CVE-2026-60004, a 9.8 RCE that lets repository writers turn malicious patches into Git hooks and run commands.

Entità

CVE-2026-60004

Part of the PlainSec briefing for 2026-07-30

Editions

Briefing for 2026-07-30

Storie correlate

Vulnerabilità · 47 giorni faGitea espone RCE anche agli account creati al voloIl punto debole non è solo la scrittura nel repository. Su un’installazione Gitea lasciata nelle impostazioni di default, un esterno può creare l’account e il repository necessari per arrivare alla scrittura, e da lì trasformare una patch in esecuzione di comandi come l’account del servizio. In pratica, un controllo pensato per i collaboratori diventa raggiungibile da chiunque possa registrarsi.Gitea ha corretto CVE-2026-60004 in 1.27.1. La falla riguarda le versioni 1.17 fino a 1.27.0 e il bollettino include codice PoC pubblico, quindi la riproduzione è immediata anche senza conferme di sfruttamento in produzione. Il caso conta soprattutto per gli ambienti self-hosted che lasciano aperta la registrazione o permettono la creazione libera di repository.Il rischio non si esaurisce con la patch della singola istanza già compromessa: se la registrazione resta aperta fino all’aggiornamento, la via d’ingresso resta pubblica. Per chi gestisce Gitea on-premise, la versione corretta è il punto di rottura, non un dettaglio amministrativo.