🇰🇷 한글 설명
Gitea 사용자 프로필의 가시성 확인 로직이 GET 요청에만 적용되어, POST 요청을 통한 팔로우/언팔로우 시 비공개 프로필 정보가 노출되는 취약점입니다. 인증된 사용자라면 누구나 비공개 프로필 사용자의 성명, 위치, 웹사이트, 설명을 확인할 수 있었습니다. 이 문제는 28.1.0 버전에서 수정되었습니다.
💡 쉬운 설명
로그인한 사용자라면 누구나 다른 사람의 비공개 프로필 정보를 몰래 훔쳐볼 수 있는 보안 허점이 발견되었습니다. 팔로우 버튼을 누르는 동작을 이용해 숨겨진 개인정보를 가져올 수 있는 문제입니다.
🇺🇸 원문 (English)
The visibility check of Gitea user profiles was applied to GET requests only, while `POST /{username}` (follow and unfollow) required only a signed-in user. Any authenticated user could therefore obtain the full name, location, website and description of a user with a private profile from the response. The issue was fixed in 28.1.0 and disclosed with 28.2.0.
📍 영향받는 시스템
Gitea 28.1.0 미만 버전
⚔️ 공격 벡터
인증된 사용자가 특정 사용자의 프로필에 대해 POST 요청(팔로우/언팔로우)을 보내 응답값에서 개인정보를 탈취
🛡️ 대응 방법
Gitea를 28.1.0 또는 28.2.0 이상의 최신 버전으로 업데이트
🔧 검증 코드
Gitea의 현재 설치 버전을 확인하여 28.1.0 미만인지 확인하십시오.
curl -s http://<gitea-instance>/api/swagger | grep -i 'version' || echo 'Check Gitea version via CLI or Web UI'