CVE-2026-60004 — Gitea diffpatch RCE

دليل إثبات المفهوم (PoC) لثغرة تنفيذ التعليمات البرمجية عن بُعد في نقطة النهاية diffpatch في Gitea. أي حساب يملك صلاحية كتابة على مستودعٍ ما (يكفي إنشاء حساب على الحالات ذات التسجيل المفتوح) يمكنه تنفيذ أوامر shell عشوائية على الخادم بصفة حساب خدمة Gitea.

ملخص الثغرة

نقطة النهاية POST /api/v1/repos/{owner}/{repo}/diffpatch تطبّق تصحيحًا يتحكم فيه المهاجم على مستودع استنساخ مؤقت مشترك من نوع bare:

git apply --index --recount --cached --binary   # Git ≥ 2.32 时追加 -3 三路合并回退

سلسلة الهجوم: تطبيق التصحيح نفسه مرتين ← تعارض add/add ← تراجع الدمج الثلاثي يقوم بعمل checkout لمسار الفهرس (حتى مع --cached) ← في مستودع bare يكون root = $GIT_DIR، فيصبح hooks/post-index-change (100755) الذي جرى له checkout بمثابة hook نشط لـ Git ← يُنفَّذ تلقائيًا عند كتابة Git للفهرس ← RCE.

• CVSS: 9.8 (حرجة)، AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• الإصدارات المتأثرة: Gitea ≥ 1.17، < 1.27.1
• الإصلاح: 1.27.1 (تحويل الاستنساخ المؤقت من bare إلى غير bare، commit 470d34b1)
• مقدِّم البلاغ: Shai Rod (NightRang3r)

شروط الاستغلال

• صلاحية كتابة على أحد المستودعات؛ أو أن تكون الحالة مفتوحة التسجيل (الافتراضي) ← يكفي تسجيل حساب وإنشاء مستودع
• إصدار Git على الخادم ≥ 2.32 (يفعّل تراجع الدمج الثلاثي -3)
• توفر نقطة النهاية diffpatch

طريقة الاستخدام

# 设置账户密码
export GITEA_PASSWORD='account-password'

python3 gitea_diffpatch_rce_poc.py \
  https://<gitea-base-url> \
  <username> \
  'id; uname -srm; pwd'

المتطلبات: Python 3 + عميل git محلي.

سير عمل الـ PoC: المصادقة ← إنشاء مستودع خاص مُهيأ ← بناء تصحيح hooks/post-index-change ← تسليمه إلى diffpatch مرتين متتاليتين (لإثارة تعارض add/add) ← ينفّذ Git الـ hook ← استرجاع مخرجات الأمر عبر Smart HTTP مُصادَق عليه. لا توجد استدعاءات صادرة (callback)، بل تُعاد المخرجات داخل النطاق (in-band).

⚠️ إخلاء المسؤولية

مخصص للبحث الأمني والتحقق من الثغرات والاختبارات الدفاعية فقط. يعمل هذا الـ PoC على إنشاء مستودعات في الحالة المستهدفة، وإرسال تصحيحات، وتشغيل أوامر على الخادم — يُرجى تشغيله على مثيل اختبار تستضيفه بنفسك فقط، ولا تستخدمه ضد بيئات غير مصرَّح بها أو بيئات الإنتاج.

الإسناد والمراجع

• الإعلان الرسمي والـ PoC: GHSA-rcr6-4jqh-j84m (مقدَّم من Shai Rod / NightRang3r)
• commit الإصلاح: 470d34b1
• تغطية صحفية: THN — New Gitea RCE Lets Repository Writers Execute Shell Commands