Gitea 1.22.3 이전 버전
공격자는 공개 리소스에 대한 접근만 허용된 API 토큰을 사용하여 개인 리소스에 접근할 수 있습니다.
Gitea를 1.22.3 버전 이상으로 업데이트하고, API 토큰의 범위를 제한하여 개인 리소스에 대한 접근을 제어합니다.
로컬 시스템에서 Python을 사용하여 Gitea 서버의 API에 접근하여 공개 리소스에 대한 접근 여부를 확인합니다. your-gitea-server.com을 실제 Gitea 서버 주소로 교체합니다. 실행 결과는 JSON 형식으로 출력됩니다.
python -c "import requests; response = requests.get('https://your-gitea-server.com/api/v1/repos'); if response.status_code == 200: print('{{"result": "취약", "reason": "Gitea API에 대한 공개 리소스 접근이 가능합니다."}}'); else: print('{{"result": "양호", "reason": "Gitea API에 대한 공개 리소스 접근이 불가능합니다."}}')"
CVSS:3.1/AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:N