إثبات المفهوم (PoC) لـ CVE-2026-60004

نظرة عامة

يحتوي هذا المستودع على أداة إثبات مفهوم لثغرة CVE-2026-60004، وهي ناقل تنفيذ عن بُعد (RCE) سواء بالمصادقة أو بدونها، وتؤثر على إصدارات معينة من Gitea عبر تقنية حقن الخطاف diffpatch. التنفيذ الأساسي هو برنامج Go واحد يقوم بعمليات الكشف والاستغلال.

محتويات المستودع

• https://github.com/gagaltotal/CVE-2026-60004-poc-gitea — ملف المصدر الرئيسي بلغة Go الذي ينفّذ الكشف وتسليم الاستغلال واسترجاع المخرجات الاختياري.
• backup.txt — ملاحظات/نسخ احتياطية متنوعة.
• images/ — صور داعمة تُستخدم في التوثيق.

إشعار مهم والاستخدام القانوني / الأخلاقي

يعرض هذا الإثبات تقنيات استغلال يمكن أن تخترق أنظمة بعيدة. وهو مقدَّم لأغراض البحث والاختبار والدفاع فقط. لا تشغّل هذه الأداة ضد أنظمة لا تملكها أو ليس لديك إذن صريح لاختبارها. المؤلف والمساهمون غير مسؤولين عن أي إساءة استخدام.

المتطلبات

• مجموعة أدوات Go (يُوصى بـ Go 1.18+)
• وصول شبكي إلى مثيل Gitea المستهدف
• اختياري: بروكسي HTTP للتصحيح (مثل Burp)

البناء

من جذر المستودع نفّذ:

go build -o cve-2026-60004-poc cve-2026-60004-poc.go

الاستخدام

يدعم الملف الثنائي المُجمَّع عدة أوضاع: full-auto و semi-auto و manual و check.

أمثلة

الكشف غير التطفلي

./cve-2026-60004-poc --url http://target:3000 --mode check

تلقائي بالكامل (يسجّل مستخدمًا، وينشئ مستودعًا، ويحاول الاستغلال)

./cve-2026-60004-poc --url http://target:3000 --mode full-auto

شبه تلقائي (استخدام بيانات اعتماد موجودة)

./cve-2026-60004-poc --url http://target:3000 --mode semi-auto --user attacker --pw 'P@ssw0rd'

يدوي (مستخدم ومستودع موجودان، الاستغلال فقط)

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo

استخدام أمر مخصص واسترجاع المخرجات

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo --cmd "whoami; id"

الخيارات (نظرة عامة)

• --url (مطلوب) : عنوان Gitea الأساسي المستهدف (مثل http://10.0.0.1:3000)
• --mode : full-auto | semi-auto | manual | check (الافتراضي: full-auto)
• --user, --pw : بيانات الاعتماد لوضعي semi-auto/manual
• --repo : اسم المستودع (للوضع اليدوي)
• --branch : اسم الفرع (الافتراضي: main)
• --cmd : الأمر المراد تنفيذه على الهدف (الافتراضي: cat /etc/passwd)

الكشف مقابل الاستغلال

• وضع check يشغّل فحوصات غير تطفلية لاكتشاف Gitea واستطلاع وجود نقطة نهاية diffpatch.
• يحاول وضع full-auto تسجيل مستخدم جديد (يتطلب تسجيلًا مفتوحًا)، وإنشاء مستودع، وتسليم حمولة diffpatch الخبيثة، واسترجاع المخرجات من الخطاف المُحقن.
• يستخدم وضع semi-auto بيانات الاعتماد المقدَّمة لإنشاء مستودع والمتابعة في خطوات الاستغلال.
• يتطلب الوضع manual مستخدمًا ومستودعًا موجودين؛ ولا يحاول سوى تسليم الاستغلال و(اختياريًا) استرجاع المخرجات.

التوصيات الأمنية

• لا تعرّض نقاط نهاية Gitea API دون داعٍ. حدّ من الوصول العام.
• حافظ على تحديث Gitea؛ فالإصدارات >= 1.28.0 تعالج هذه الثغرة تحديدًا.
• راقب إنشاء المستودعات واستدعاءات API والالتزامات أو المراجع غير المعتادة.

ملاحظات التطوير

• تم تنفيذ الإثبات كبرنامج Go في ملف واحد. وهو يضبط InsecureSkipVerify على true عمدًا لاتصالات TLS لزيادة التوافق أثناء الاختبار؛ لا تستخدم هذا السلوك في كود الإنتاج.
• نقاط النهاية الرئيسية المستخدمة هي /api/v1/version و /user/sign_up و /api/v1/user و /api/v1/user/repos و /api/v1/repos/:owner/:repo/diffpatch.

المساهمة

يجب أن تقتصر المساهمات على التحسينات الدفاعية والتوثيق والإصلاحات غير المرتبطة بالاستغلال. لا ترسل تعديلات تجعل الأداة أكثر تدميرًا.

الترخيص

هذا المستودع مقدَّم لأغراض البحث والدفاع. لا يتضمن أي ترخيص صريح؛ إذا كنت بحاجة إلى ترخيص، أضف واحدًا وتأكد من توافقه مع استخدامك المقصود.

المؤلف / التواصل

المؤلف: Gagaltotal666 - GhostGTR666

شكر وتقدير

أُعدّ هذا الإثبات لعرض الثغرة ومساعدة المدافعين في اكتشافها والتخفيف من حدتها.

المراجع

• اطلع على التنفيذ المصدر في https://github.com/gagaltotal/CVE-2026-60004-poc-gitea