CVE-2026-20896

Nome do Software Vulnerável e Versões Afetadas Gitea Docker image versões anteriores a 1.26.3

Description Uma falha de configuração nas imagens Docker oficiais permite que um invasor remoto não autenticado se passe por qualquer usuário, incluindo administradores, falsificando o cabeçalho X-WEBAUTH-USER. Isso ocorre porque o modelo app.ini define a variável REVERSE PROXY TRUSTED PROXIES como um caractere curinga (*), fazendo com que a aplicação confie em cabeçalhos de identidade de qualquer endereço IP de origem, em vez de apenas endereços de loopback confiáveis. Este problema é explorável quando a autenticação de proxy reverso está habilitada. Estima-se que aproximadamente 22.900 hosts Gitea únicos estejam acessíveis pela internet, com 83% potencialmente afetados. Atividades de reconhecimento e tentativas de exploração no mundo real foram detectadas 13 dias após a divulgação pública. A falha permite o acesso a repositórios, segredos de CI/CD, chaves SSH e funções administrativas via interface web, embora os endpoints de API baseados em tokens (ex: /api/v1/...) não sejam afetados.

Recommendations Atualize o Gitea para a versão 1.26.4 ou superior. Como mitigação temporária, desative a configuração ENABLE REVERSE PROXY AUTHENTICATION se ela não for necessária. Substitua o valor curinga da variável REVERSE PROXY TRUSTED PROXIES pelos endereços IP específicos dos proxies reversos confiáveis. Desative o registro automático de usuários para evitar que invasores criem contas arbitrárias. Restrinja o acesso direto de rede à porta HTTP do container Gitea, garantindo que o tráfego flua apenas através do proxy reverso pretendido.