Tác nhân đe doạ rà soát lỗ hổng Gitea Docker CVE-2026-20896 sau 13 ngày
"Threat actors were observed probing CVE-2026-20896, a critical Gitea Docker image vulnerability that allowed unauthenticated users to impersonate accounts by abusing the X-WEBAUTH-USER header when reverse-proxy authentication was enabled with an overly permissive trusted-proxy default. The flaw affected Gitea Docker images up to 1.26.2 and was fixed in 1.26.3 by removing the wildcard trust setting and making reverse-proxy authentication opt-in; Sysdig reported the first in-the-wild probing 13 days after disclosure."
Nguy cơ cao do có thể dẫn tới giả mạo người dùng và đăng nhập không cần mật khẩu khi tin cậy proxy bị cấu hình sai; điểm then chốt gồm CVE-2026-20896, mặc định REVERSE_PROXY_TRUSTED_PROXIES = \* và điều kiện ENABLE_REVERSE_PROXY_AUTHENTICATION.
Có thể gây gián đoạn vận hành và rủi ro mất kiểm soát tài khoản quản trị nếu bị khai thác trên các instance hướng Internet; điểm then chốt là khả năng chiếm quyền đăng nhập và phạm vi ảnh hưởng đến <= 1.26.2.
Theo Sysdig, các tác nhân đe doạ đã được quan sát tiến hành thăm dò nhằm khai thác CVE-2026-20896 (CVSS 9.8) trong các Gitea Docker images. Lỗ hổng cho phép truy cập trái phép theo cơ chế giả mạo tài khoản khi reverse-proxy authentication được bật nhưng cấu hình tin cậy proxy quá rộng.
Cụ thể, Gitea Docker image mặc định hard-code REVERSE_PROXY_TRUSTED_PROXIES = \* trong template app.ini, khiến hệ thống tin cậy header X-WEBAUTH-USER từ mọi địa chỉ IP. Khi ENABLE_REVERSE_PROXY_AUTHENTICATION = true và để mặc định giá trị tin cậy, kẻ tấn công có thể gửi header tùy ý từ bất kỳ nguồn nào truy cập được cổng HTTP của container, từ đó đăng nhập như người dùng bất kỳ (đặc biệt nhắm tới tài khoản admin như admin, gitea_admin).
Lỗ hổng ảnh hưởng đến phiên bản <= 1.26.2 và được khắc phục trong Gitea 1.26.3 bằng cách loại bỏ wildcard và chuyển reverse-proxy authentication sang chế độ opt-in. Sysdig ghi nhận nỗ lực thăm dò đầu tiên trong thực tế xuất hiện 13 ngày sau khi công bố; ước tính có khoảng 6.200 instance Gitea hướng ra Internet. Khuyến nghị: cập nhật lên 1.26.3+ và rà soát cấu hình reverse-proxy, đặc biệt REVERSE_PROXY_TRUSTED_PROXIES chỉ giới hạn dải hợp lệ (ví dụ loopback).