CVE-2026-20896 Gitea认证绕过漏洞已遭主动利用

资讯专家

Gitea 的 Docker 镜像中存在一个编号为 CVE-2026-20896（CVSS 9.8）的严重漏洞，攻击者只需发送一个包含有效用户名的 HTTP 请求头即可绕过认证，访问目标仓库和敏感信息。

该漏洞由安全研究员 Ali Mustafa 发现，影响 Gitea 1.26.3 之前版本的官方 Docker 镜像。问题在于默认配置允许来自任意来源 IP 的连接，而未强制白名单过滤。启用反向代理认证时，本应只信任代理设置的请求头，但由于该缺陷，任何能直接访问 Gitea 容器 HTTP 端口的进程都可以伪装成已知或猜测的用户名登录，管理员账户是重点目标。

Sysdig 威胁研究总监 Michael Clark 表示，漏洞公开后第 13 天即监测到野外利用，尝试来自一个“VPN出口扫描器”。已知约有 6,200 个 Gitea 实例可从互联网访问，但尚不清楚其中多少存在漏洞。

Gitea 已在 1.26.3 / 1.26.4 版本中修复该问题，将反向代理认证改为需主动启用。请相关用户立即更新部署，否则成功利用可能导致代码、私密仓库、开发者误提交的 API 密钥、数据库凭证、部署令牌、CI/CD 配置及部署密钥全部泄露。