Gitea: Drei kritische Sicherheitslücken (CVE-2026-58426, -20896, -22874)
Dieser Text wurde mit künstlicher Intelligenz (KI) erstellt.Update 06.07.2026: Zusätzlich zu CVE-2026-58426 wurden zwei weitere kritische Schwachstellen in Gitea bekannt. CVE-2026-20896 (CVSS 9.8) ermöglicht bei Docker-Deployments mit aktivierter Reverse-Proxy-Authentifizierung die vollständige Account-Übernahme ohne Passwort. CVE-2026-22874 (CVSS 9.6) erlaubt authentifizierten Nutzern eine Server-Side Request Forgery auf interne Netzwerkressourcen und Cloud-Metadaten-Endpunkte. Details siehe unten.
In der weit verbreiteten, selbst-gehosteten Git-Plattform Gitea wurden mehrere kritische Sicherheitslücken offengelegt. Die Schwachstelle CVE-2026-58426 mit einem CVSS-Score von 9.6 (Kritisch) betrifft die Gitea Actions-Funktionalität und erlaubt es authentifizierten Angreifern mit geringen Berechtigungen, die Sicherheitsgrenzen zwischen verschiedenen Projekten zu überwinden, um auf sensible Build-Artefakte zuzugreifen und deren Upload-Status zu manipulieren. Die zweite Schwachstelle CVE-2026-20896 mit einem CVSS-Score von 9.8 (Kritisch) betrifft Docker-Deployments und ermöglicht unter bestimmten Konfigurationsbedingungen die vollständige Übernahme beliebiger Benutzerkonten. Die dritte Schwachstelle CVE-2026-22874 mit einem CVSS-Score von 9.6 (Kritisch) ermöglicht authentifizierten Nutzern mit Webhook- oder Migrations-Rechten eine non-blind Server-Side Request Forgery auf interne Netzwerkressourcen. Sicherheitsupdates zur Behebung aller Probleme sind verfügbar.
CVSS-Scores: 9.6 (CVE-2026-58426), 9.8 (CVE-2026-20896), 9.6 (CVE-2026-22874), alle Kritisch
Betroffene Komponenten: Gitea-Instanzen mit aktivierten Actions (CVE-2026-58426); Gitea Docker-Images bis einschließlich 1.26.2 mit aktivierter Reverse-Proxy-Authentifizierung (CVE-2026-20896); Gitea 0.9.99 bis einschließlich 1.26.2 bei Nutzern mit Webhook- oder Migrations-Rechten (CVE-2026-22874)
Auswirkungen: Unberechtigter Lesezugriff auf Build-Artefakte und Schreibzugriff auf den Upload-Status über Repository-Grenzen hinweg (CVE-2026-58426); vollständige Account-Übernahme ohne Passwort (CVE-2026-20896); Zugriff auf interne Netzwerkressourcen und Cloud-Metadaten einschließlich IAM-Zugangsdaten (CVE-2026-22874)
Behebung: Upgrade auf Gitea Version 1.26.4 oder die aktuellste stabile Version (Hinweis: Version 1.26.2 enthält eine bekannte Regression; Gitea empfiehlt, direkt auf 1.26.4 zu aktualisieren).
Aktive Ausnutzung: Für CVE-2026-20896 liegen Hinweise auf aktive Ausnutzung vor.
Technische Analyse von CVE-2026-58426
Die Ursache der Schwachstelle liegt in einer Mehrdeutigkeit bei der kryptografischen Überprüfung von HMAC-Signaturen, die für signierte URLs in der Gitea Actions Artifacts V4 API verwendet werden. Ein Angreifer, der bereits über einen niedrig-privilegierten Zugang zur Gitea-Instanz verfügt, kann speziell präparierte Anfragen an die API senden. Aufgrund der fehlerhaften Signaturprüfung interpretiert das System diese Anfragen fälschlicherweise als legitim.
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N verdeutlicht das Bedrohungspotenzial:
AV:N (Network): Der Angriff kann aus der Ferne über das Netzwerk erfolgen.
AC:L (Low): Die Durchführung des Angriffs erfordert keine hohe Komplexität.
PR:L (Low): Ein Angreifer benötigt lediglich einen Account mit niedrigen Berechtigungen.
C:H (High Confidentiality) & I:H (High Integrity): Die Auswirkungen auf die Vertraulichkeit und Integrität von Daten sind hoch.
Die Behebung wurde im Pull Request #37707 umgesetzt, der die Struktur der Signatur-Payload so anpasst, dass eine eindeutige Validierung sichergestellt ist.
Technische Analyse von CVE-2026-20896
CVE-2026-20896 stellt eine noch gravierendere Bedrohung dar, da sie keinen vorherigen Account-Zugang erfordert. Die Schwachstelle betrifft ausschließlich Docker-Deployments von Gitea, bei denen die Reverse-Proxy-Authentifizierung aktiviert ist (ENABLE_REVERSE_PROXY_AUTHENTICATION=true). Binärdistributionen in Standardkonfiguration sind nicht betroffen.
Das offizielle Gitea-Docker-Image setzt die Konfigurationsoption REVERSE_PROXY_TRUSTED_PROXIES standardmäßig auf den Wildcard-Wert *. Dies bedeutet, dass Gitea HTTP-Header wie X-WEBAUTH-USER von jeder Quelle als vertrauenswürdig akzeptiert. Ein Angreifer kann eine HTTP-Anfrage mit einem gefälschten X-WEBAUTH-USER-Header senden, der auf einen beliebigen Benutzernamen gesetzt ist – einschließlich Administrator-Accounts. Gitea authentifiziert den Angreifer daraufhin ohne Passwortprüfung als diesen Benutzer.
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H unterstreicht die Kritikalität:
AV:N (Network): Angriff aus der Ferne möglich.
AC:L (Low): Keine besonderen Voraussetzungen erforderlich.
PR:N (None): Keine Authentifizierung notwendig.
UI:N (None): Keine Benutzerinteraktion erforderlich.
C:H/I:H/A:H: Vollständige Kompromittierung von Vertraulichkeit, Integrität und Verfügbarkeit möglich.
Die Ausnutzung dieser Schwachstelle kann zur vollständigen Übernahme der Gitea-Instanz führen, einschließlich Zugriff auf alle Repositories, Secrets, Build-Artefakte und administrative Funktionen. Laut dem Security Advisory liegen Hinweise auf aktive Ausnutzung dieser Schwachstelle vor, was die Dringlichkeit eines sofortigen Updates unterstreicht.
Technische Analyse von CVE-2026-22874
CVE-2026-22874 beschreibt eine non-blind Server-Side Request Forgery (SSRF) Schwachstelle, die auf eine unzureichende IP-Validierung in der Funktion HostMatchList.checkIP zurückzuführen ist. Die Schwachstelle betrifft Gitea-Versionen von 0.9.99 bis einschließlich 1.26.2 und kann von authentifizierten Nutzern mit Webhook- oder Repository-Migrations-Rechten ausgenutzt werden.
Die fehlerhafte Implementierung erlaubt es Angreifern, Gitea dazu zu bringen, HTTP-Anfragen an reservierte interne Adressbereiche zu senden, die eigentlich blockiert sein sollten. Betroffen sind insbesondere:
Der RFC 6598 Adressbereich 100.64.0.0/10 (Carrier-Grade NAT)
Der Cloud-Metadaten-Endpunkt 169.254.169.254, der in AWS, Azure und anderen Cloud-Umgebungen zur Bereitstellung von IAM-Zugangsdaten und Instanz-Metadaten verwendet wird
Der CVSS-Vektor CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:N zeigt die Schwere der Schwachstelle:
AV:N (Network): Angriff aus der Ferne möglich.
AC:L (Low): Keine hohe Komplexität erforderlich.
PR:L (Low): Authentifizierung mit niedrigen Berechtigungen ausreichend.
S:C (Changed Scope): Die Auswirkungen gehen über die verwundbare Komponente hinaus.
C:H (High Confidentiality) & I:H (High Integrity): Hohe Auswirkungen auf Vertraulichkeit und Integrität.
Da die Webhook-Historie in Gitea die vollständige HTTP-Antwort anzeigt, handelt es sich um eine non-blind SSRF. Ein Angreifer kann die Antworten interner Dienste direkt auslesen. In Cloud-Umgebungen ermöglicht dies den Zugriff auf IAM-Zugangsdaten, temporäre Sicherheitstoken und andere sensible Metadaten, die zur weiteren Kompromittierung der Cloud-Infrastruktur verwendet werden können.
Geschäftliche Risiken durch kompromittierte CI/CD-Pipelines
Die Schwachstellen stellen ein erhebliches Risiko für Unternehmen dar, die eine zentrale Gitea-Instanz für mehrere Entwicklungsteams oder Projekte nutzen. Build-Artefakte sind ein zentraler Bestandteil von CI/CD-Prozessen und enthalten häufig sensible Informationen wie:
Kompilierte Anwendungsbinaries und Bibliotheken
Konfigurationsdateien mit Zugangsdaten für Datenbanken oder Cloud-Dienste
Private API-Schlüssel und Tokens
Geistiges Eigentum in Form von Quellcode oder proprietären Assets
Durch Ausnutzung von CVE-2026-58426 kann ein Angreifer mit Zugriff auf ein unkritisches Repository die logische Isolation durchbrechen und auf Artefakte aus hochsicheren Produktions-Pipelines zugreifen. CVE-2026-20896 ermöglicht darüber hinaus die vollständige Übernahme der Plattform ohne vorherigen Account-Zugang, was zu Diebstahl von Geschäftsgeheimnissen, Kompromittierung von Produktionsumgebungen oder Manipulation der Software-Lieferkette führen kann. Die Hinweise auf aktive Ausnutzung dieser Schwachstelle erhöhen das Risiko erheblich. CVE-2026-22874 erweitert die Angriffsfläche auf die Cloud-Infrastruktur: In Cloud-Deployments kann ein Angreifer über die SSRF-Schwachstelle IAM-Zugangsdaten vom Metadaten-Endpunkt abgreifen und damit Zugriff auf S3-Buckets, Datenbanken oder andere Cloud-Ressourcen erlangen.
CVE-2026-58426, CVE-2026-20896 und CVE-2026-22874 sind nicht die ersten kritischen Sicherheitsfunde in Gitea: Erst im Mai 2026 wurde mit CVE-2026-27771 (CVSS 8.2) eine Schwachstelle gepatcht, die es unauthentifizierten Angreifern ermöglichte, private Container-Images von schätzungsweise über 30.000 betroffenen Deployments weltweit abzurufen. Die Häufung kritischer Schwachstellen unterstreicht die Notwendigkeit eines systematischen Vendor Risk Managements. (Quelle: SecurityWeek, TheHackerNews, Mai 2026 — https://www.securityweek.com/gitea-vulnerability-exposed-30000-deployments-to-attacks/)
Deutschland zählt laut Sicherheitsforschern zu den Ländern mit der höchsten Dichte an exponierten Gitea-Instanzen. Organisationen, die unter NIS-2 oder die DSGVO fallen, sollten kompromittierte Build-Artefakte, Account-Übernahmen, den Zugriff auf Cloud-Metadaten oder die Umgehung von Branch-Protection-Mechanismen als potenzielle Datenpanne werten und gegebenenfalls eine Meldung gemäß DSGVO Art. 33 innerhalb von 72 Stunden prüfen. Für Betreiber kritischer Infrastrukturen gelten darüber hinaus die Meldepflichten nach dem BSI-Gesetz.
Empfohlene Gegenmaßnahmen
Administratoren von Gitea-Instanzen sollten umgehend handeln, um ihre Systeme abzusichern.
Sofortmaßnahme:
Führen Sie ein Upgrade auf Gitea Version 1.26.4 oder die aktuellste stabile Version durch. Der ursprüngliche Sicherheitspatch für CVE-2026-58426 wurde am 20. Mai 2026 in Version 1.26.2 bereitgestellt; da 1.26.2 jedoch eine bekannte Regression enthält, empfiehlt Gitea ein direktes Update auf 1.26.4. Version 1.26.4 behebt CVE-2026-58426, CVE-2026-20896 und CVE-2026-22874. Der Fix für CVE-2026-20896 wurde bereits in Version 1.26.3 bereitgestellt (der Wildcard-Standard wurde entfernt, die Reverse-Proxy-Authentifizierung ist nun opt-in). Der Fix für CVE-2026-22874 wurde zunächst ebenfalls in Version 1.26.3 bereitgestellt, dort jedoch mit einer Regression, die in 1.26.4 korrigiert wurde.
Für Docker-Deployments: Prüfen Sie, ob die Reverse-Proxy-Authentifizierung aktiviert ist (ENABLE_REVERSE_PROXY_AUTHENTICATION=true). Falls ja, ist ein sofortiges Update zwingend erforderlich. Alternativ können Sie die Funktion deaktivieren, bis das Update eingespielt ist. Aufgrund der Hinweise auf aktive Ausnutzung von CVE-2026-20896 sollte diese Prüfung höchste Priorität haben.
Für Cloud-Deployments: Prüfen Sie, ob Nutzer mit Webhook- oder Migrations-Rechten existieren, die nicht vollständig vertrauenswürdig sind. Überprüfen Sie Webhook-Historien und Cloud-Zugriffsprotokolle auf verdächtige Aktivitäten, insbesondere Zugriffe auf den Metadaten-Endpunkt 169.254.169.254.
Langfristige Strategie:
Etablieren Sie ein kontinuierliches Schwachstellen-Monitoring für Ihre gesamte IT-Infrastruktur, um über neue Sicherheitslücken zeitnah informiert zu werden.
Implementieren Sie ein Vendor Risk Management, um die Sicherheit von eingesetzten Drittanbieter-Produkten systematisch zu bewerten und zu überwachen.
Sichtbarkeit und Kontrolle mit LocateRisk
Selbst-gehostete Systeme wie Gitea sind ein wichtiger Teil der Entwicklungsinfrastruktur, können aber ohne durchgehende Überwachung zu einem unkontrollierten Risiko werden. Angesichts einer wachsenden Zahl kritischer Schwachstellen in weit verbreiteten Open-Source-Plattformen ist die systematische Identifikation und kontinuierliche Bewertung solcher Systeme entscheidend.
Die LocateRisk-Plattform unterstützt Unternehmen hierbei auf zwei Ebenen:
External Attack Surface Management (EASM): Unsere Lösung identifiziert kontinuierlich alle öffentlich erreichbaren Systeme Ihrer Organisation, einschließlich selbst-gehosteter Gitea-Instanzen, vergessener Subdomains und unkontrollierter Cloud-Assets. So erhalten Sie Transparenz über Ihre tatsächliche Angriffsfläche, erkennen exponierte oder veraltete Gitea-Server und können deren Versionsstand gegen bekannte Schwachstellen wie CVE-2026-58426, CVE-2026-20896 und CVE-2026-22874 abgleichen — auch dann, wenn diese Systeme nicht zentral inventarisiert sind.
Continuous Vendor Risk Management (C-VRM): Beziehen Sie Entwicklungs- oder Repository-Dienste über externe Anbieter, hängt Ihre Sicherheit auch von deren Patch-Disziplin ab. Die wiederholten Schwachstellen in Gitea verdeutlichen, warum eine einmalige Prüfung nicht ausreicht: LocateRisk bewertet das Sicherheitsniveau Ihrer Dienstleister und Software-Anbieter kontinuierlich und warnt proaktiv vor neuen Risiken in Ihrer Lieferkette.
Als deutscher Anbieter mit Hosting in ISO 27001-zertifizierten Rechenzentren in Deutschland unterstützt LocateRisk Unternehmen dabei, DSGVO-Anforderungen zu erfüllen, und reduziert das Risiko von Datenzugriffen durch US-Behörden.
Eine kontinuierliche Überwachung Ihrer externen IT-Systeme ist die Grundlage für eine widerstandsfähige Sicherheitsstrategie. LocateRisk identifiziert und bewertet Sicherheitsrisiken in Ihrer Angriffsfläche, bevor sie ausgenutzt werden können.
CVE-2026-58426 bezeichnet eine kritische Sicherheitslücke (CVSS 9.6) in der Gitea Actions Artifacts V4 API. Ursache ist eine Mehrdeutigkeit bei der HMAC-Signaturprüfung signierter URLs, die es einem niedrig-privilegierten Angreifer ermöglicht, über Repository-Grenzen hinweg auf Build-Artefakte anderer Projekte zuzugreifen und deren Upload-Status zu manipulieren. Das zugehörige Security Advisory wird unter der Kennung GHSA-hg5r-vq93-9fv6 geführt.
CVE-2026-20896 ist eine kritische Schwachstelle (CVSS 9.8) in Gitea Docker-Images, die bei aktivierter Reverse-Proxy-Authentifizierung eine vollständige Account-Übernahme ohne Passwort ermöglicht. Im Gegensatz zu CVE-2026-58426 benötigt ein Angreifer hier keinen vorherigen Account-Zugang. Die Schwachstelle entsteht durch die standardmäßige Wildcard-Konfiguration von REVERSE_PROXY_TRUSTED_PROXIES im Docker-Image, wodurch gefälschte X-WEBAUTH-USER-Header akzeptiert werden. Das Advisory wird unter GHSA-f75j-4cw6-rmx4 geführt. Für diese Schwachstelle liegen Hinweise auf aktive Ausnutzung vor.
CVE-2026-22874 ist eine kritische non-blind Server-Side Request Forgery (SSRF) Schwachstelle (CVSS 9.6) in Gitea-Versionen 0.9.99 bis 1.26.2. Sie erlaubt authentifizierten Nutzern mit Webhook- oder Migrations-Rechten, HTTP-Anfragen an interne Netzwerkressourcen zu senden, einschließlich des Cloud-Metadaten-Endpunkts 169.254.169.254. Da die Webhook-Historie die vollständige HTTP-Antwort anzeigt, können Angreifer IAM-Zugangsdaten, temporäre Sicherheitstoken und andere sensible Metadaten auslesen. Das Advisory wird unter GHSA-2r5c-gw76-rh3w geführt.
Für CVE-2026-58426 sind Gitea-Instanzen mit aktivierter Actions-Funktionalität betroffen. Für CVE-2026-20896 sind ausschließlich Docker-Deployments bis einschließlich Version 1.26.2 mit aktivierter Reverse-Proxy-Authentifizierung (ENABLE_REVERSE_PROXY_AUTHENTICATION=true) betroffen. Binärdistributionen in Standardkonfiguration sind von CVE-2026-20896 nicht betroffen. CVE-2026-22874 betrifft alle Gitea-Versionen von 0.9.99 bis einschließlich 1.26.2. Die Fixes für CVE-2026-58426, CVE-2026-20896 und CVE-2026-22874 sind in Version 1.26.4 enthalten. Da Version 1.26.2 eine bekannte Regression enthält und Version 1.26.3 eine Regression im Fix für CVE-2026-22874 aufweist, empfiehlt Gitea ein direktes Update auf Version 1.26.4 oder die aktuellste stabile Version des 1.26.x-Zweigs.
Für CVE-2026-20896 liegen laut dem Security Advisory GHSA-f75j-4cw6-rmx4 Hinweise auf aktive Ausnutzung vor. Dies unterstreicht die Dringlichkeit eines sofortigen Updates, insbesondere für Docker-Deployments mit aktivierter Reverse-Proxy-Authentifizierung. Für CVE-2026-58426 und CVE-2026-22874 gibt es zum Zeitpunkt der Offenlegung keine bestätigten Berichte über eine aktive Ausnutzung in der freien Wildbahn. Aufgrund der niedrigen Angriffskomplexität und der hohen Kritikalität aller Schwachstellen sollten die Updates dennoch umgehend eingespielt werden.
CVE Quick Check
Prüfen Sie in wenigen Minuten, ob zu einer aktuellen CVE Hinweise auf Ihrer extern sichtbaren Angriffsfläche erkennbar sind.
Grobe Einschätzung in wenigen Minuten per E-Mail.
Details im kostenlosen Gespräch mit einem LocateRisk Consultant.
Das erhalten Sie per E-Mail
UnternehmenIhre Firma GmbH
Geprüfte CVECVE-2024-3094
Passive Bewertung
Hinweise zur CVEHinweise gefunden
Mehr erfahren, Demo buchen oder einfach mal kurz austauschen? Wir freuen uns!
We use cookies to optimize our website and our service.
Functional
Immer aktiv
Die technische Speicherung oder der Zugang ist unbedingt erforderlich für den rechtmäßigen Zweck, die Nutzung eines bestimmten Dienstes zu ermöglichen, der vom Teilnehmer oder Nutzer ausdrücklich gewünscht wird, oder für den alleinigen Zweck, die Übertragung einer Nachricht über ein elektronisches Kommunikationsnetz durchzuführen.
Vorlieben
Die technische Speicherung oder der Zugriff ist für den rechtmäßigen Zweck der Speicherung von Präferenzen erforderlich, die nicht vom Abonnenten oder Benutzer angefordert wurden.
Statistics
Die technische Speicherung oder der Zugriff, der ausschließlich zu statistischen Zwecken erfolgt.Die technische Speicherung oder der Zugriff, der ausschließlich zu anonymen statistischen Zwecken verwendet wird. Ohne eine Vorladung, die freiwillige Zustimmung deines Internetdienstanbieters oder zusätzliche Aufzeichnungen von Dritten können die zu diesem Zweck gespeicherten oder abgerufenen Informationen allein in der Regel nicht dazu verwendet werden, dich zu identifizieren.
Marketing
Die technische Speicherung oder der Zugriff ist erforderlich, um Nutzerprofile zu erstellen, um Werbung zu versenden oder um den Nutzer auf einer Website oder über mehrere Websites hinweg zu ähnlichen Marketingzwecken zu verfolgen.
Deutsch 
English 
Français