Il problema non è una cattiva configurazione dell’amministratore. Il container Gitea in Docker nasce già con una fiducia troppo ampia verso i reverse proxy: basta raggiungere il port perché un header di login fornito dal client venga trattato come identità valida, anche se non arriva dal proxy autentico.
Sysdig ha visto i primi tentativi di probing 13 giorni dopo la disclosure di CVE-2026-20896. La falla colpisce le immagini Docker di Gitea fino alla 1.26.2; la 1.26.3 rimuove il wildcard di default e rende esplicita l’autenticazione via reverse proxy. Il rischio nasce dal template shipped nell’`app.ini`, che imposta `REVERSE_PROXY_TRUSTED_PROXIES = *` invece del solo loopback.
Per chi usa Gitea in Docker, soprattutto con autenticazione via reverse proxy su container raggiungibili dalla rete, il confine di fiducia non sta fuori nell’infrastruttura: è dentro l’immagine stessa. Se il servizio è esposto direttamente, un attaccante può impersonare account noti o indovinabili, inclusi gli admin.