CVE-2026-60004 в Gitea: CISA добавила уязвимость в KEV

В Gitea 1.17.0–1.27.0 нашли инъекцию кода с оценкой CVSS 9.8: через эндпоинт diffpatch атакующий с правом записи в репозиторий выполняет хук на хосте. CISA внесла CVE-2026-60004 в каталог эксплуатируемых уязвимостей 25 августа 2026 года, исправление вышло в Gitea 1.27.1.

• Уязвимы Gitea 1.17.0–1.27.0, исправление в версии 1.27.1
• CVSS 9.8, тип CWE-94, хук выполняется от системного пользователя Gitea
• CISA добавила CVE в KEV 25 августа 2026 года
• ZoomEye нашёл 117 536 совпадений по app="Gitea" на 30 октября 2026