CVE-2026-22874
Gitea webhook y filtrado de lista de permitidos de migración permiten SSRF
- Publicado
- 3 jul 2026
- Actualizado
- 7 jul 2026
- Asignación de CNA
- Gitea
- Evidencia observada
- 17 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:NBajo · próximos 30 días
- Percentil
- 38,7 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
# Gitea hasta la versión 1.26.2 inclusive tiene una protección SSRF incompleta en el filtrado de listas de permitidos de webhooks y migraciones.
Fuentes
- cve-2026-22874-gitea-ssrf-allowlistInformativo
Informe de CVE-2026-22874: lista de permitidos SSRF incompleta en webhook/migración de Gitea (transición IPv6 y metadatos en la nube). Corregido en Gitea 1.26.3.
Prueba de concepto de exploit para CVE-2026-22874, una vulnerabilidad de Server-Side Request Forgery (SSRF) en versiones de Gitea anteriores a la 1.26.3. Destinada a pruebas de seguridad autorizadas y validación de mitigaciones.
Laboratorio de prueba de concepto que demuestra un SSRF autenticado en la lista de permitidos del hostmatcher de Gitea, donde un webhook a http://0.0.0.1 alcanza servicios de loopback a los que 127.0.0.1 no puede.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.