CVE-2026-60004 Proof-of-Concept (PoC)

Panoramica

Questo repository contiene uno strumento proof-of-concept per CVE-2026-60004, un vettore di esecuzione remota di codice (RCE) autenticato o pre-autenticazione che interessa alcune versioni di Gitea tramite la tecnica di iniezione di hook diffpatch. L'implementazione principale è un singolo programma Go che esegue i flussi di rilevamento e sfruttamento.

Contenuto del repository

• https://github.com/gagaltotal/CVE-2026-60004-poc-gitea — File sorgente Go principale che implementa il rilevamento, la consegna dell'exploit e il recupero facoltativo dell'output.
• backup.txt — note/backup vari.
• images/ — immagini di supporto utilizzate per la documentazione.

Avviso importante e uso legale/etico

Questo PoC dimostra tecniche di sfruttamento che possono compromettere sistemi remoti. È fornito esclusivamente a scopo di ricerca, test e difesa. Non eseguire questo strumento contro sistemi che non possiedi o per i quali non disponi di un'autorizzazione esplicita al test. L'autore e i contributori non sono responsabili dell'uso improprio.

Requisiti

• Toolchain Go (consigliata Go 1.18+)
• Accesso di rete all'istanza Gitea di destinazione
• Opzionale: un proxy HTTP per il debug (es. Burp)

Compilazione

Dalla radice del repository eseguire:

go build -o cve-2026-60004-poc cve-2026-60004-poc.go

Utilizzo

Il binario compilato supporta diverse modalità: full-auto, semi-auto, manual e check.

Esempi

Rilevamento non intrusivo

./cve-2026-60004-poc --url http://target:3000 --mode check

Full-auto (registra un utente, crea un repository, tenta l'exploit)

./cve-2026-60004-poc --url http://target:3000 --mode full-auto

Semi-auto (usa credenziali esistenti)

./cve-2026-60004-poc --url http://target:3000 --mode semi-auto --user attacker --pw 'P@ssw0rd'

Manual (utente e repository esistenti, solo exploit)

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo

Usa un comando personalizzato e recupera l'output

./cve-2026-60004-poc --url http://target:3000 --mode manual --user attacker --pw 'P@ssw0rd' --repo myrepo --cmd "whoami; id"

Opzioni (panoramica)

• --url (obbligatorio) : URL di base Gitea di destinazione (es. http://10.0.0.1:3000)
• --mode : full-auto | semi-auto | manual | check (predefinito: full-auto)
• --user, --pw : Credenziali per le modalità semi-auto/manual
• --repo : Nome del repository (per la modalità manuale)
• --branch : Nome del branch (predefinito: main)
• --cmd : Comando da eseguire sul target (predefinito: cat /etc/passwd)

Rilevamento vs sfruttamento

• La modalità check esegue controlli non intrusivi per rilevare Gitea e sondare la presenza dell'endpoint diffpatch.
• full-auto tenta di registrare un nuovo utente (richiede la registrazione aperta), creare un repository, consegnare il payload diffpatch dannoso e recuperare l'output dall'hook iniettato.
• semi-auto utilizza le credenziali fornite per creare un repository e procedere con i passaggi di sfruttamento.
• manual richiede un utente e un repository esistenti; tenta solo la consegna dell'exploit e (opzionalmente) il recupero dell'output.

Raccomandazioni di sicurezza

• Non esporre gli endpoint API di Gitea inutilmente. Limitare l'accesso pubblico.
• Mantenere Gitea aggiornato; le versioni >= 1.28.0 risolvono questa specifica vulnerabilità.
• Monitorare la creazione di repository, le chiamate API e i commit o ref insoliti.

Note di sviluppo

• Il PoC è implementato come programma Go a file singolo. Imposta intenzionalmente InsecureSkipVerify su true per le connessioni TLS al fine di massimizzare la compatibilità durante i test; non utilizzare questo comportamento nel codice di produzione.
• Gli endpoint principali utilizzati sono /api/v1/version, /user/sign_up, /api/v1/user, /api/v1/user/repos e /api/v1/repos/:owner/:repo/diffpatch.

Contributi

I contributi dovrebbero essere limitati a miglioramenti difensivi, documentazione e correzioni non legate all'exploit. Non inviare modifiche che rendano lo strumento più distruttivo.

Licenza

Questo repository è fornito a scopo di ricerca e difesa. Nessuna licenza è inclusa esplicitamente; se è necessaria una licenza, aggiungine una e assicurati che sia compatibile con l'uso previsto.

Autore / Contatti

Autore: Gagaltotal666 - GhostGTR666

Riconoscimenti

Questo PoC è stato preparato per dimostrare la vulnerabilità e per assistere i difensori nel rilevarla e mitigarla.

Riferimenti

• Vedi l'implementazione sorgente in https://github.com/gagaltotal/CVE-2026-60004-poc-gitea