应对措施：升级Gitea至1.26.2或更高版本；确认内置Container Registry的访问控制策略已正确生效

CVE-2026-27771Gitea Container Registry 未授权访问漏洞漏洞概述该漏洞为CVE-2026-27771CVSS 评分8.2高危影响 Gitea 内置 Container Registry 的访问控制逻辑。核心问题当容器仓库被标记为私有时Registry 端点未正确执行权限校验导致匿名用户可以直接通过标准 Docker/OCI 拉取请求获取私有容器镜像无需任何认证。影响范围表格项目详情受影响版本Gitea 1.26.2含 Forgejo 等分支暴露时间约 4 年自 Container Registry 功能引入以来受影响实例全球约31,750互联网暴露的 Gitea 部署主要分布中国、美国、德国、法国、英国涉及行业医疗、航空航天、零售、ISP 等漏洞利用方式攻击者可通过以下方式利用获取匿名 TokenGET /v2/token?servicecontainer_registryscope*列出仓库目录通过 OCI catalog API拉取私有镜像标准docker pull或自定义脚本获取镜像层和 manifest整个过程无需账号、密码或任何凭证。潜在危害泄露专有源代码和业务逻辑提取镜像中嵌入的 API 密钥、数据库密码、云服务凭证暴露内部基础设施配置和部署清单为进一步的横向移动和数据泄露提供入口修复方案1. 官方修复推荐升级至 Gitea 1.26.2 或更高版本该版本已修复缺失的权限检查正确强制执行私有/内部包的可见性限制。bash# Docker 部署示例 docker pull gitea/gitea:1.26.22. 临时缓解措施若无法立即升级在app.ini配置文件中添加ini[service] REQUIRE_SIGNIN_VIEW true⚠️注意此设置会禁止所有匿名访问包括原本意图公开的仓库和镜像可能影响正常公开访问的业务流程。3. 升级后必须执行的后续操作补丁只是第一步由于漏洞已存在近 4 年应假设私有镜像可能已被爬取轮换所有凭证数据库密码、第三方 API 密钥、签名密钥、内部服务 Token审计镜像层中的密钥使用trufflehog docker或gitleaks扫描镜像层审查反向代理访问日志查找针对私有仓库的异常 manifest 或 blob 请求确认 Container Registry 访问控制策略已正确生效相关资源官方补丁发布说明Gitea 1.26.2 Release漏洞 PoC 仓库portbuster1337/CVE-2026-27771含复现和验证脚本相关 Issuego-gitea/gitea#37290修复 Container Registry 认证问题