Gitea 1.26.4安全更新：多项漏洞修复(CVE-2026-20896/22874等)

漏洞概述 Gitea 1.26.3 和 1.26.4 版本发布，其中包含多个安全修复。主要漏洞包括： 1. CVE-2026-20896：Docker 镜像中默认设置了 ，允许任何源 IP 通过 标头冒充用户。 2. CVE-2026-22874：默认允许列表过滤器过于宽松，可能导致内部地址的 SSRF 攻击。 3. CVE-2026-27775：重新检查分支写入权限，允许在推送时绕过预接收钩子缓存的第一个 ref 结果。 4. CVE-2026-24451：阻止 fork 同步（merge-upstream），当基础仓库不再可读时，fork 无法拉取父级切换为私有后的提交。 5. CVE-2026-20779：强制执行单使用 TOTP 密码，关闭 TOCTOU 竞态条件和无状态重放窗口。 6. CVE-2026-28740：要求代码单元访问跨仓库 LFS 对象重用，防止非代码授权私有对象。 7. CVE-2026-27761：强制执行仓库令牌范围，防止 RSS/Atom 端点读取私有仓库提交数据。 8. CVE-2026-25038：强制执行组织可见性，防止组织标签泄露给非成员。 9. CVE-2026-28740：阻止 HTTP 重定向，防止 SSRF 通过攻击者控制的重定向到达内部地址。 10. CVE-2026-28740：绑定 CODEOWNERS 模式匹配时间，防止未认证的 ReDoS 拒绝服务。 11. CVE-2026-28740：撤销通知后，私有问题和拉取请求元数据不再通过通知 API 泄露。 影响范围 CVE-2026-20896：影响所有使用 Docker 镜像的用户。 CVE-2026-22874：影响使用 webhook 和迁移的用户。 CVE-2026-27775：影响使用预接收钩子的用户。 CVE-2026-24451：影响使用 fork 同步的用户。 CVE-2026-20779：影响使用 TOTP 密码的用户。 CVE-2026-28740：影响使用跨仓库 LFS 对象重用的用户。 CVE-2026-27761：影响使用 RSS/Atom 端点的用户。 CVE-2026-25038：影响使用组织标签的用户。 CVE-2026-28740：影响使用 HTTP 重定向的用户。 CVE-2026-28740：影响使用 CODEOWNERS 的用户。 CVE-2026-28740：影响使用通知 API 的用户。 修复方案 CVE-2026-20896：将 设置为空或特定信任的代理。 CVE-2026-22874：收紧默认允许列表过滤器。 CVE-2026-27775：重新检查分支写入权限。 CVE-2026-24451：阻止 fork 同步。 CVE-2026-20779：强制执行单使用 TOTP 密码。 CVE-2026-28740：要求代码单元访问跨仓库 LFS 对象重用。 CVE-2026-27761：强制执行仓库令牌范围。 CVE-2026-25038：强制执行组织可见性。 CVE-2026-28740：阻止 HTTP 重定向。 CVE-2026-28740：绑定 CODEOWNERS 模式匹配时间。 CVE-2026-28740：撤销通知后，不再泄露私有问题和拉取请求元数据。 更新建议 强烈建议直接升级到 Gitea 1.26.4。如果已经在 1.26.3，请尽快升级到 1.26.4。 安装或更新 从 Gitea 下载页面 下载预构建的二进制文件，确保选择与平台兼容的版本。有关安装或升级的分步指南，请参阅 安装文档。 特别感谢 感谢所有在 Open Collective 上支持 Gitea 的赞助商，他们帮助我们维持财务稳定。 社区参与 加入 Gitea 社区，在 GitHub 上星标我们的仓库，并在 Discord 上加入我们的社区。 订阅新闻 订阅我们的新闻通讯，获取所有 Gitea 最新动态。 标签 release 编辑此页 编辑此页 新文章 Gitea Runner 2.0.0 已发布 旧文章 TOC 选举 2026 加入我们的社区 Gitea 是开源的。星标我们的 GitHub 仓库，并在 Discord 上加入我们的社区。 前往 GitHub 加入 Discord 订阅我们的新闻通讯 订阅我们的新闻通讯，获取所有 Gitea 最新动态。 订阅 文档 教程 社区 Stack Overflow Discord Twitter 更多 代码

目标达成 感谢每一位支持者 — 我们达成了 100% 目标！

Gitea 1.26.4安全更新：多项漏洞修复(CVE-2026-20896/22874等)

目标达成感谢每一位支持者 — 我们达成了 100% 目标！