Prueba de concepto (PoC) para CVE-2026-60004

Resumen

Este repositorio contiene una herramienta de prueba de concepto para CVE-2026-60004, un vector de ejecución remota de código (RCE) autenticada o preautenticada que afecta a ciertas versiones de Gitea mediante la técnica de inyección de hooks diffpatch. La implementación principal es un único programa en Go que realiza flujos de detección y explotación.

Contenido del repositorio

• https://github.com/gagaltotal/CVE-2026-60004-poc-gitea — Archivo fuente principal en Go que implementa la detección, la entrega del exploit y la recuperación opcional de la salida.
• backup.txt — notas/copias de seguridad diversas.
• images/ — imágenes de apoyo utilizadas para la documentación.

Aviso importante y uso legal / ético

Esta PoC demuestra técnicas de explotación que pueden comprometer sistemas remotos. Se proporciona únicamente con fines de investigación, pruebas y defensa. No ejecute esta herramienta contra sistemas que no posea o para los que no tenga permiso explícito de pruebas. El autor y los colaboradores no son responsables del uso indebido.

Requisitos

• Cadena de herramientas Go (se recomienda Go 1.18+)
• Acceso de red a la instancia de Gitea objetivo
• Opcional: un proxy HTTP para depuración (p. ej., Burp)

Compilación

Desde la raíz del repositorio ejecute:

go build -o cve-2026-60004-poc cve-2026-60004-poc.go

Uso

El binario compilado admite varios modos: full-auto, semi-auto, manual y check.

Ejemplos

Detección no intrusiva

./cve-2026-60004-poc --url http://target:3000 --mode check

Full-auto (registra un usuario, crea un repositorio e intenta el exploit)

./cve-2026-60004-poc --url http://target:3000 --mode full-auto

Semi-auto (utiliza credenciales existentes)

./cve-2026-60004-poc --url http://target:3000 --mode semi-auto --user attacker --pw 'P@ssw0rd'

Manual (usuario y repositorio existentes, solo exploit)

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo

Usar un comando personalizado y recuperar la salida

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo --cmd "whoami; id"

Opciones (nivel alto)

• --url (obligatorio) : URL base de Gitea objetivo (p. ej., http://10.0.0.1:3000)
• --mode : full-auto | semi-auto | manual | check (por defecto: full-auto)
• --user, --pw : Credenciales para los modos semi-auto/manual
• --repo : Nombre del repositorio (para el modo manual)
• --branch : Nombre de la rama (por defecto: main)
• --cmd : Comando a ejecutar en el objetivo (por defecto: cat /etc/passwd)

Detección frente a explotación

• El modo check ejecuta comprobaciones no intrusivas para detectar Gitea y sondear la presencia del endpoint diffpatch.
• full-auto intenta registrar un nuevo usuario (requiere registro abierto), crear un repositorio, entregar el payload diffpatch malicioso y recuperar la salida del hook inyectado.
• semi-auto utiliza las credenciales proporcionadas para crear un repositorio y continuar con los pasos de explotación.
• manual requiere un usuario y un repositorio existentes; solo intenta la entrega del exploit y (opcionalmente) la recuperación de la salida.

Recomendaciones de seguridad

• No exponga los endpoints de la API de Gitea innecesariamente. Limite el acceso público.
• Mantenga Gitea actualizado; las versiones >= 1.28.0 solucionan esta vulnerabilidad específica.
• Supervise la creación de repositorios, las llamadas a la API y los commits o referencias (refs) inusuales.

Notas de desarrollo

• La PoC está implementada como un programa Go de un solo archivo. Intencionalmente establece InsecureSkipVerify en true para las conexiones TLS con el fin de maximizar la compatibilidad durante las pruebas; no use este comportamiento en código de producción.
• Los endpoints principales utilizados son /api/v1/version, /user/sign_up, /api/v1/user, /api/v1/user/repos y /api/v1/repos/:owner/:repo/diffpatch.

Contribuciones

Las contribuciones deben limitarse a mejoras defensivas, documentación y correcciones no relacionadas con la explotación. No envíe modificaciones que hagan la herramienta más destructiva.

Licencia

Este repositorio se proporciona con fines de investigación y defensa. No se incluye ninguna licencia explícita; si necesita una licencia, añada una y asegúrese de que sea compatible con el uso previsto.

Autor / Contacto

Autor: Gagaltotal666 - GhostGTR666

Agradecimientos

Esta PoC se preparó para demostrar la vulnerabilidad y ayudar a los defensores a detectarla y mitigarla.

Referencias

• Consulte la implementación fuente en https://github.com/gagaltotal/CVE-2026-60004-poc-gitea