Gitea trasforma un header in accesso totale ai repository
Il vero crollo non è l’exploit del codice, ma della fiducia: in un’installazione Gitea esposta direttamente, un solo header basta a far credere al server che l’attaccante sia un utente valido. Da lì l’accesso non si ferma a un account: si apre ai repository privati, alle configurazioni CI/CD e alle chiavi e ai segreti salvati nel codice.
La falla è CVE-2026-20896 e riguarda le official Docker images di Gitea fino alla 1.26.2. I ricercatori e Sysdig confermano sfruttamento attivo, con il primo hit osservato 13 giorni dopo la disclosure; la correzione è nella 1.26.3, che rende esplicito il trust verso i proxy.
Per i deployment che usano reverse-proxy authentication, la superficie reale è tutto ciò che risponde fuori dal proxy: se il container è raggiungibile in HTTP, l’header diventa il login. In pratica, un errore di esposizione di rete può diventare compromissione completa di codice e segreti.