🚨 CVE-2026-60004 - RCE

Ejecución Remota de Código Crítica en Gitea a través del Git Hook diffpatch

Una vulnerabilidad crítica de Ejecución Remota de Código (RCE) que permite la ejecución arbitraria de comandos a través del endpoint de la API diffpatch abusando de la ejecución de Git hooks.

---

📖 Resumen

CVE-2026-60004 es una vulnerabilidad Crítica de Ejecución Remota de Código (RCE) que afecta a Gitea. El fallo reside en la implementación del endpoint diffpatch, donde parches especialmente diseñados pueden abusar del mecanismo de hooks de Git durante la aplicación del parche.

La explotación exitosa permite a un atacante autenticado con permisos de escritura en el repositorio ejecutar comandos arbitrarios en el servidor Gitea con los privilegios del servicio Gitea.

🔥 Severidad

🎯 Productos Afectados

• Gitea 1.17
• Gitea 1.18
• Gitea 1.19
• Gitea 1.20
• Gitea 1.21
• Gitea 1.22
• Gitea 1.23
• Gitea 1.24
• Gitea 1.25
• Gitea 1.26
• Gitea 1.27.0

✅ Versión Corregida

Gitea 1.27.1

⚡ Resumen de la Vulnerabilidad

La vulnerabilidad se origina en el endpoint POST /api/v1/repos/{owner}/{repo}/diffpatch.

Un parche malicioso puede introducir un Git hook en un repositorio temporal creado durante el procesamiento del parche. Cuando Git ejecuta posteriormente operaciones de repositorio, el hook inyectado se ejecuta automáticamente, lo que resulta en la ejecución arbitraria de comandos en el servidor.

🛠 Requisitos del Ataque

Por lo general, un atacante requiere:

• Cuenta autenticada
• Capacidad de crear o modificar un repositorio
• Permiso de escritura en el repositorio

⚠️ Las instancias con el registro público de usuarios habilitado corren un riesgo significativamente mayor.

💥 Impacto Potencial

La explotación exitosa puede permitir a los atacantes:

• Ejecutar comandos arbitrarios del sistema operativo
• Comprometer por completo el servidor Gitea
• Acceder a repositorios privados
• Robar claves SSH
• Obtener secretos de CI/CD
• Extraer tokens de API
• Acceder a credenciales de despliegue
• Moverse lateralmente por la infraestructura interna

🔍 Flujo de Explotación

Attacker
    │
    ▼
Craft malicious diff patch
    │
    ▼
POST /api/v1/repos/.../diffpatch
    │
    ▼
Git applies patch
    │
    ▼
Malicious Git Hook installed
    │
    ▼
Git executes hook
    │
    ▼
Arbitrary Command Execution

📌 Superficie de Ataque

Internet
      │
      ▼
Authenticated User
      │
      ▼
diffpatch API
      │
      ▼
Temporary Git Repository
      │
      ▼
Git Hook Execution
      │
      ▼
Remote Code Execution

🛡 Mitigación

Inmediatamente:

• Actualice a Gitea 1.27.1 o superior.
• Deshabilite el registro público si no es necesario.
• Restrinja la creación de repositorios.
• Limite los permisos de escritura en los repositorios.
• Supervise solicitudes inusuales a diffpatch.
• Audite los repositorios Git en busca de hooks no autorizados.
• Rote las credenciales expuestas si se sospecha de un compromiso.

🔎 Indicadores de Compromiso

Los investigadores deben buscar:

• Archivos de Git hook inesperados
• Procesos hijos sospechosos generados por Gitea
• Ejecuciones de shell desconocidas
• Llamadas API inusuales a /diffpatch
• Modificaciones no autorizadas de repositorios
• Conexiones de red salientes inesperadas

📊 Evaluación de Riesgo

📚 Detalles Técnicos

🚨 Recomendaciones de Seguridad

✔ Actualice inmediatamente.

✔ Supervise los registros de la API.

✔ Restrinja los permisos de los repositorios.

✔ Deshabilite las funciones de registro no utilizadas.

✔ Rote los secretos si se sospecha de un compromiso.

✔ Supervise continuamente la integridad de los Git hooks.

📜 Descargo de Responsabilidad

Este repositorio está destinado exclusivamente a fines educativos, defensivos y de investigación.

La información aquí proporcionada tiene como objetivo ayudar a los profesionales de la seguridad a comprender, detectar y mitigar la vulnerabilidad. No utilice esta información contra sistemas sin autorización explícita.