CVE-2026-60004 - Gitea <= 1.27.0 RCE Pré-Autenticação

Este é um exploit de prova de conceito para o CVE-2026-60004, uma vulnerabilidade crítica de execução remota de código nas versões 1.17 a 1.27.0 do Gitea. O script automatiza toda a cadeia de exploração, desde o registro de usuário até o estabelecimento de um shell interativo e estável no servidor alvo.

Contexto

A vulnerabilidade existe no endpoint /diffpatch da API. Ao enviar um patch malicioso duas vezes, uma colisão add/add aciona um fallback de merge de três vias que ignora a flag --cached e grava um hook Git executável diretamente no GIT_DIR do repositório bare. Quando o Git atualiza o index, ele executa automaticamente esse hook, permitindo a execução arbitrária de comandos como a conta de serviço do Gitea.

Como o Gitea é um binário Go compilado, sem um interpretador PHP embutido, implantar um webshell tradicional geralmente falha se não houver um servidor web secundário configurado para executá-lo. Para resolver isso e garantir que o exploit seja totalmente estável, este script usa uma abordagem orientada por API:

1. Ele instala um hook Git post-index-change por meio da colisão no diffpatch.