コードインジェクション

CVE-2026-60004 — Gitea のコードインジェクションでサーバー側のコマンド実行（解説と対応策）

Gitea 1.17〜1.27.0 の diffpatch エンドポイントにコードインジェクション（CWE-94・CVSS 9.8・KEV）。悪意あるGitフックが仕込まれ、Giteaを動かしているOSユーザーの権限でコマンドが動く。ベンダーは、そこから到達し得るものとしてアプリケーションの秘密・DB認証情報・OAuthトークン・マウントされたリポジトリを挙げている。本命は1.27.1への更新。ただし核心は権限条件で、『書き込み権限が必要』は公開登録が有効なら誰でも満たせる——だから更新と同時に登録設定を確認する。