Уязвимость CVE-2026-20896 (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — 9.8 Critical) затрагивает Docker-образы Gitea до версии 1.26.2 включительно. Проблема возникла из-за того, что параметр доверенных прокси в шаблоне app.ini по умолчанию задали как «*», из-за чего сервер доверял запросам с любого IP-адреса.
Если администратор включал вход через обратный прокси, злоумышленник мог отправить специальный заголовок X-WEBAUTH-USER и выдать себя за любого известного или угаданного пользователя без пароля и токена. При включенной автоматической регистрации имя администратора давало атакующему права администратора.
По данным Sysdig, уязвимость впервые попытались эксплуатировать через 13 дней после публичного раскрытия проблемы, атака шла с IP-адреса сервиса анонимизации трафика. Gitea выпустила исправление в версии 1.26.3 в конце июня, убрав подстановочный символ «*» и сделав вход через обратный прокси отдельной опциональной функцией.