CVE-2026-60004 — Gitea diffpatch RCE

Gitea diffpatch एंडपॉइंट दूरस्थ कोड निष्पादन PoC। जिसके पास रिपॉजिटरी पर लेखन अनुमति है (ओपन रजिस्ट्रेशन इंस्टेंस पर पंजीकरण मात्र पर्याप्त है) वह सर्वर पर Gitea सेवा खाते के रूप में मनमाना शेल कमांड निष्पादित कर सकता है।

भेद्यता सारांश

POST /api/v1/repos/{owner}/{repo}/diffpatch साझा bare अस्थायी क्लोन रिपॉजिटरी में हमलावर-नियंत्रित पैच लागू करता है:

git apply --index --recount --cached --binary   # Git ≥ 2.32 时追加 -3 三路合并回退

हमले की श्रृंखला: एक ही पैच को दो बार सबमिट करें → add/add विरोध → थ्री-वे मर्ज फॉलबैक इंडेक्स पथ को checkout करता है (भले ही --cached के साथ) → bare रिपॉजिटरी में root = $GIT_DIR, checkout किया गया hooks/post-index-change (100755) एक सक्रिय Git hook बन जाता है → Git इंडेक्स लिखते समय स्वचालित रूप से निष्पादित होता है → RCE।

• CVSS: 9.8(Critical),AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• प्रभावित: Gitea ≥ 1.17,< 1.27.1
• समाधान: 1.27.1 (अस्थायी क्लोन bare से non-bare में बदला गया, commit 470d34b1)
• रिपोर्टकर्ता: Shai Rod (NightRang3r)

शोषण की शर्तें

• किसी रिपॉजिटरी पर लेखन अनुमति हो; या इंस्टेंस ओपन रजिस्ट्रेशन हो (डिफ़ॉल्ट) → खाता पंजीकृत करें + रिपॉजिटरी बनाएं, बस
• सर्वर-साइड Git ≥ 2.32 (-3 थ्री-वे मर्ज सक्षम हो)
• diffpatch एंडपॉइंट उपलब्ध हो

उपयोग

# 设置账户密码
export GITEA_PASSWORD='account-password'

python3 gitea_diffpatch_rce_poc.py \
  https://<gitea-base-url> \
  <username> \
  'id; uname -srm; pwd'

निर्भरता: Python 3 + स्थानीय git क्लाइंट।

PoC प्रक्रिया: प्रमाणीकरण → निजी आरंभिक रिपॉजिटरी बनाना → hooks/post-index-change पैच तैयार करना → लगातार दो बार diffpatch पर भेजना (add/add विरोध ट्रिगर करना) → Git hook निष्पादित करता है → प्रमाणित Smart HTTP के माध्यम से कमांड आउटपुट प्राप्त करना। कोई आउटबाउंड कॉलबैक नहीं, आउटपुट इन-बैंड लौटाया जाता है।

⚠️ अस्वीकरण

केवल सुरक्षा अनुसंधान, भेद्यता सत्यापन और रक्षात्मक परीक्षण के लिए। यह PoC लक्ष्य इंस्टेंस पर रिपॉजिटरी बनाएगा, पैच सबमिट करेगा और सर्वर-साइड कमांड निष्पादन ट्रिगर करेगा। कृपया इसे स्व-निर्मित परीक्षण इंस्टेंस पर चलाएं, अनधिकृत या उत्पादन परिवेश में उपयोग न करें।

श्रेय और संदर्भ

• आधिकारिक घोषणा और PoC: GHSA-rcr6-4jqh-j84m (रिपोर्टकर्ता Shai Rod / NightRang3r)
• समाधान commit: 470d34b1
• रिपोर्ट: THN — New Gitea RCE Lets Repository Writers Execute Shell Commands