CVE-2026-60004 — Exécution de code à distance via diffpatch de Gitea

PoC d'exécution de code à distance sur le point d'accès diffpatch de Gitea. Un compte disposant des droits d'écriture sur un dépôt (simple inscription anonyme sur une instance à inscription ouverte) peut exécuter des commandes shell arbitraires sur le serveur sous le compte de service Gitea.

Résumé de la vulnérabilité

POST /api/v1/repos/{owner}/{repo}/diffpatch applique un correctif contrôlé par l'attaquant dans un clone temporaire bare partagé :

git apply --index --recount --cached --binary   # Git ≥ 2.32 时追加 -3 三路合并回退

Chaîne d'attaque : soumettre deux fois le même correctif → conflit add/add → le repli de la fusion à trois points extrait (checkout) le chemin de l'index (même avec --cached) → dans un dépôt bare, root = $GIT_DIR, le hooks/post-index-change extrait (100755) devient un hook Git actif → Git l'exécute automatiquement lors de l'écriture de l'index → RCE.

CVSS : 9.8 (Critique), AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Versions concernées : Gitea ≥ 1.17, < 1.27.1
Correctif : 1.27.1 (le clone temporaire passe de bare à non bare, commit 470d34b1)
Signaleur : Shai Rod (NightRang3r)

Conditions d'exploitation

Disposer des droits d'écriture sur un dépôt ; ou instance à inscription ouverte (par défaut) → il suffit de créer un compte et un dépôt
Git côté serveur ≥ 2.32 (fusion à trois points -3 activée)
Le point d'accès diffpatch est disponible

Utilisation

# 设置账户密码
export GITEA_PASSWORD='account-password'

python3 gitea_diffpatch_rce_poc.py \
  https://<gitea-base-url> \
  <username> \
  'id; uname -srm; pwd'

Paramètre	Description
`url`	URL de base de Gitea
`username`

Dépendances : Python 3 + client git local.

Déroulement du PoC : authentification → création d'un dépôt privé initialisé → construction du correctif hooks/post-index-change → envoi deux fois de suite à diffpatch (déclenchement du conflit add/add) → Git exécute le hook → récupération de la sortie de la commande via Smart HTTP authentifié. Aucun rappel sortant, la sortie est renvoyée dans le canal (in-band).

⚠️ Clause de non-responsabilité

À utiliser uniquement pour la recherche en sécurité, la validation de vulnérabilités et les tests défensifs. Ce PoC crée un dépôt sur l'instance cible, soumet un correctif et déclenche l'exécution de commandes côté serveur. À exécuter uniquement sur une instance de test que vous contrôlez, ne pas l'utiliser sur des environnements non autorisés ou de production.

Attribution et références

Avis officiel et PoC : GHSA-rcr6-4jqh-j84m (signalé par Shai Rod / NightRang3r)
Commit de correctif : 470d34b1
Couverture : THN — New Gitea RCE Lets Repository Writers Execute Shell Commands

CVE-2026-60004