CVE-2026-60004 - Gitea <= 1.27.0 RCE pre-autenticazione

Questo è un proof-of-concept per CVE-2026-60004, una vulnerabilità critica di esecuzione di codice in remoto in Gitea versione 1.17 fino alla 1.27.0. Lo script automatizza l'intera catena di sfruttamento, dalla registrazione dell'utente fino alla creazione di una shell interattiva e stabile sul server target.

Contesto

La vulnerabilità è presente nell'endpoint API /diffpatch. Inviando due volte una patch dannosa, una collisione add/add attiva il fallback della merge a tre vie che ignora il flag --cached e scrive una hook Git eseguibile direttamente nella GIT_DIR del repository bare. Quando Git aggiorna l'indice, esegue automaticamente questa hook, consentendo l'esecuzione arbitraria di comandi con l'account di servizio di Gitea.

Poiché Gitea è un binario Go compilato senza un interprete PHP integrato, il caricamento di una webshell tradizionale spesso fallisce se non è presente un server web secondario configurato per eseguirla. Per risolvere questo problema e garantire che l'exploit sia completamente stabile, questo script utilizza un approccio basato su API:

1. Installa una hook git post-index-change tramite la collisione diffpatch.