🚨 CVE-2026-60004 - 远程代码执行

通过 diffpatch Git Hook 在 Gitea 中实现严重远程代码执行

一个严重的远程代码执行（RCE）漏洞，通过滥用 Git 钩子执行，经由 diffpatch API 端点实现任意命令执行。

---

📖 概述

CVE-2026-60004 是一个影响 Gitea 的**严重远程代码执行（RCE）**漏洞。该缺陷存在于 diffpatch 端点的实现中，特制补丁可在应用补丁期间滥用 Git 的钩子机制。

成功利用该漏洞可让拥有仓库写入权限的已认证攻击者以 Gitea 服务的权限在 Gitea 服务器上执行任意命令。

🔥 严重性

🎯 受影响产品

• Gitea 1.17
• Gitea 1.18
• Gitea 1.19
• Gitea 1.20
• Gitea 1.21
• Gitea 1.22
• Gitea 1.23
• Gitea 1.24
• Gitea 1.25
• Gitea 1.26
• Gitea 1.27.0

✅ 修复版本

Gitea 1.27.1

⚡ 漏洞概述

该漏洞源于 POST /api/v1/repos/{owner}/{repo}/diffpatch 端点。

恶意补丁可在补丁处理过程中创建的临时仓库中植入 Git 钩子。当 Git 随后执行仓库操作时，注入的钩子会自动运行，从而在服务器上导致任意命令执行。

🛠 攻击条件

攻击者通常需要：

• 已认证的账户
• 能够创建或修改仓库
• 对仓库的写入权限

⚠️ 启用公开用户注册的实例面临的风险显著更高。

💥 潜在影响

成功利用该漏洞可能允许攻击者：

• 执行任意操作系统命令
• 完全入侵 Gitea 服务器
• 访问私有仓库
• 窃取 SSH 密钥
• 获取 CI/CD 机密
• 提取 API 令牌
• 访问部署凭据
• 在内部基础设施中进行横向移动

🔍 利用流程

攻击者
    │
    ▼
构造恶意 diff 补丁
    │
    ▼
POST /api/v1/repos/.../diffpatch
    │
    ▼
Git 应用补丁
    │
    ▼
安装恶意 Git Hook
    │
    ▼
Git 执行钩子
    │
    ▼
任意命令执行

📌 攻击面

互联网
      │
      ▼
已认证用户
      │
      ▼
diffpatch API
      │
      ▼
临时 Git 仓库
      │
      ▼
Git 钩子执行
      │
      ▼
远程代码执行

🛡 缓解措施

请立即：

• 升级到 Gitea 1.27.1 或更高版本。
• 如无必要，禁用公开注册。
• 限制仓库创建。
• 限制仓库写入权限。
• 监控异常的 diffpatch 请求。
• 审计 Git 仓库中是否存在未授权的钩子。
• 若怀疑遭受入侵，轮换已暴露的凭据。

🔎 入侵指标

调查人员应关注：

• 意外的 Git 钩子文件
• Gitea 派生的可疑子进程
• 未知的 shell 执行
• 对 /diffpatch 的异常 API 调用
• 未授权的仓库修改
• 意外的出站网络连接

📊 风险评估

📚 技术细节

🚨 安全建议

✔ 立即升级。

✔ 监控 API 日志。

✔ 限制仓库权限。

✔ 禁用不用的注册功能。

✔ 若怀疑遭受入侵，轮换机密。

✔ 持续监控 Git 钩子完整性。

📜 免责声明

本仓库仅用于教育、防御和研究目的。

此处提供的信息旨在帮助安全专业人员理解、检测和缓解该漏洞。请勿在未经明确授权的情况下将此信息用于攻击系统。