Gitea opravila kritickou bezpečnostní chybu umožňující vzdálené spuštění kódu. Uživatel s běžným přístupem pro zápis do repozitáře může obsah úpravy ovládané útočníkem přeměnit na aktivní gitovský hook a spouštět příkazy shellu pod účtem, pod kterým služba Gitea běží.
Chyba dostala označení CVE-2026–60004 (skóre CVSS: 9,8), se týká verzí Gitea 1.17 a novějších až do opravné verze 1.27.1. Zranitelné volání API vyžaduje ověření a oprávnění k zápisu do repozitáře. Gitea však ve výchozím nastavení povoluje registraci, takže externí návštěvník si může ve výchozí instalaci vytvořit běžný účet a repozitář a následně tuto chybu zneužít i bez předem získaných přihlašovacích údajů.
Úspěšné zneužití poskytne útočníkovi oprávnění uživatelského účtu Gitea v operačním systému. Podle toho, jak je instance izolována, by podle podle vývojářů mohlo dojít k odhalení citlivých údajů o aplikaci a prostředí, připojených repozitářů, přihlašovacích údajů a obsahu databáze, přihlašovacích údajů OAuth a dostupných interních služeb.
