Una vulnerabilidad crítica en Gitea, identificada como CVE-2026-60004, podría permitir que los atacantes ejecuten comandos de shell arbitrarios en servidores vulnerables. Este problema afecta a las versiones de Gitea desde la 1.17 hasta la 1.27.0 y ha sido resuelto en la versión 1.27.1.

El fallo reside en el endpoint diffpatch de Gitea, que es responsable de procesar los parches del repositorio utilizando comandos de Git. Un atacante con acceso de escritura estándar a un repositorio puede explotar esta función para colocar un gancho (hook) de Git malicioso en un clon temporal de un repositorio bare.

Debido a que la raíz del repositorio clonado actúa como el directorio de Git, un archivo manipulado ubicado en hooks/post-index-change puede convertirse en un gancho de Git activo.

El ataque se inicia enviando el mismo parche especialmente manipulado dos veces. Gitea utiliza el comando git apply con opciones relacionadas con el índice para aplicar el parche malicioso.

Vulnerabilidad RCE de Gitea

En la versión 2.32 de Git y posteriores, Git puede implementar un respaldo de fusión de tres vías cuando detecta una colisión de añadir/añadir. Durante este proceso, Git extrae la ruta indexada, aunque la operación se ejecute utilizando la opción --cached.

En un repositorio Git bare, este comportamiento supone un riesgo significativo porque la raíz del repositorio también sirve como directorio de Git. Por lo tanto, un archivo ejecutable malicioso escrito en hooks/post-index-change es tratado como un gancho activo, y no solo como contenido ordinario del repositorio.

Como resultado, Git ejecuta el gancho mientras actualiza su índice, permitiendo que se ejecuten comandos controlados por el atacante con la cuenta del sistema operativo que ejecuta el servicio Gitea.

Según el Aviso de Seguridad de GitHub (GHSA-rcr6-4jqh-j84m), la vulnerabilidad tiene una puntuación CVSS v3.1 de 9.8 (Crítica), lo que indica un vector de ataque de red, baja complejidad de ataque, que no requiere interacción del usuario y altos impactos en la confidencialidad, integridad y disponibilidad.

Está clasificada bajo CWE-94, que se refiere al Control Inadecuado de la Generación de Código, comúnmente conocido como inyección de código. Aunque el exploit requiere acceso de escritura al repositorio, este acceso podría obtenerse fácilmente en instancias con el registro abierto habilitado.

Un visitante no autenticado podría registrarse para obtener una cuenta normal, crear un repositorio y utilizar la ruta diffpatch vulnerable para activar la ejecución de código, lo que deja particularmente vulnerables a los despliegues de Gitea accesibles públicamente.

Una explotación exitosa podría llevar a la exposición de recursos sensibles de Gitea, incluyendo el archivo de configuración app.ini, secretos de la aplicación, variables de entorno, repositorios montados, credenciales de la base de datos, tokens de OAuth y credenciales de integración.

El impacto final del exploit depende de los permisos asignados a la cuenta del servicio Gitea y de los controles de aislamiento alrededor del servidor.

Para explotar la vulnerabilidad, el atacante requiere la versión 2.32 de Git o posterior, una ruta diffpatch habilitada y un sistema de archivos temporal que permita escribir y ejecutar archivos.

Se informa que la prueba de concepto recupera la salida del comando a través de objetos Git y Smart HTTP autenticado, lo que implica que el atacante podría no necesitar una conexión de red saliente desde el host objetivo. Debes actualizar Gitea a la versión 1.27.1 inmediatamente.

Hasta que se aplique el parche, las organizaciones deben desactivar o restringir el acceso a la funcionalidad diffpatch, desactivar el registro público, limitar los permisos de escritura de los repositorios, revisar los privilegios de la cuenta de servicio y monitorizar los registros de Gitea y Git para detectar cualquier envío de parches inusual o actividad inesperada relacionada con los ganchos.

Las versiones recientes de Gitea han incluido múltiples correcciones de seguridad, lo que resalta la importancia de realizar actualizaciones rápidas y una gestión continua de la exposición.