Gitea diffpatch API RCE PoC 公开

研究者 erberkan 公开了 Gitea diffpatch API 远程代码执行漏洞 CVE-2026-60004 的 PoC，脚本仅依赖 Python 标准库，认证后可创建私有仓库、提交构造补丁并回读命令输出。 据披露，具备仓库创建或写入权限的认证用户可提交构造补丁，使可执行 Git hook 被写入临时裸仓库；受影响版本为 Gitea 1.17.0 至 1.27.0，1.27.1 已修复。若实例开放公开注册，未认证攻击者也可能先注册账号再访问该认证端点。 上述影响范围与利用条件来自 PoC 公开方的说明，尚未见独立验证其实际利用效果。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。