CVE-2026-60004 [严重]

该仓库提供 CVE-2026-60004（GHSA-rcr6-4jqh-j84m）的多目标利用 PoC，这是影响 Gitea（>= 1.17，< 1.27.1）的严重远程代码执行漏洞。拥有仓库写权限的攻击者可通过 diffpatch 端点在裸临时克隆中植入可执行的 post-index-change 钩子，以 Gitea 服务账户身份触发任意 shell 命令执行，工具自动化了认证、仓库搭建、载荷投递与带内输出回传。

攻击者可利用 Gitea 的 diffpatch 端点，通过仓库控制的内容在临时裸克隆中安装并触发 Git hook，从而以 Gitea 服务账户身份执行任意命令。受影响版本为 1.17 至 1.27.1（不含）。若开放注册，访客可注册普通账户并创建所需仓库。官方公告包含完整 PoC；1.27.1 版本已修复。