CVE-2026-20896

KritischVeröffentlicht

Gitea Docker-Image vertraut standardmäßig fälschbaren Reverse-Proxy-Headern

Veröffentlicht: 03.07.2026
Aktualisiert: 07.07.2026
CNA zuweisen: Gitea
Beweise beobachtet: 08.08.2026

Primäres CVSS

9,8/ 10Kritisch

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

EPSS-Wahrscheinlichkeitsschätzung

2,8 %

Niedrig · nächste 30 Tage

Perzentil: 85,5 %
Modelldatum: 21.09.2026

EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.

Zusammenfassung

Gitea-Docker-Image-Versionen bis einschließlich 1.26.2 verwenden standardmäßig REVERSE_PROXY_TRUSTED_PROXIES=*, sodass jede Quell-IP sich als Benutzer ausgeben kann, wenn Reverse-Proxy-Authentifizierungsheader wie X-WEBAUTH-USER aktiviert sind.

Quellen

CVE-2026-20896PoC
Gitea Docker-Image-Authentifizierungsumgehung
CVE-2026-20896-Gitea-Authentication-BypassPoC
Eine Erklärung und ein PoC zur Ausnutzung der Authentifizierungs-Bypass-Schwachstelle CVE-2026-20896 in Gitea. Damit können Session-Tokens für gültige Benutzer in der Gitea-Instanz gestohlen werden.
CVE-2026-20896PoC
Öffentlicher PoC und Detektor für CVE-2026-20896 ("Gitea Docker: Ein Header, jeder Benutzer")

Verantwortungsvoller Umgang

Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.