🔍 CVE-2026-20750

9.1
CVSS Score
CRITICAL
2026-01-22
2026-07-15 02:18
✅ 완료

🇰🇷 한글 설명

Gitea에서 조직 프로젝트 작업에서 프로젝트 소유권을 제대로 검증하지 않아, 한 조직에서 프로젝트 작성 권한을 가진 사용자가 다른 조직의 프로젝트를 수정할 수 있는 취약점

💡 쉬운 설명

Gitea의 프로젝트 소유권 검증 취약점으로 인해, 한 사용자가 다른 조직의 프로젝트를 수정할 수 있습니다. 이는 프로젝트의 보안을 위협할 수 있습니다. 사용자는 프로젝트의 작성 권한을 가지면 다른 조직의 프로젝트를 수정할 수 있으므로, 프로젝트의 소유권을 확인하는 것이 중요합니다.

🇺🇸 원문 (English)

Gitea does not properly validate project ownership in organization project operations. A user with project write access in one organization may be able to modify projects belonging to a different organization.

📍 영향받는 시스템

Gitea

⚔️ 공격 벡터

사용자가 프로젝트 작성 권한을 가지면, 다른 조직의 프로젝트를 수정할 수 있습니다.

🛡️ 대응 방법

Gitea를 최신 버전으로 업데이트하고, 프로젝트 소유권을 확인하는 기능을 활성화하세요.

🔧 검증 코드

로컬에서 Python을 실행하여, Gitea API를 호출하고 프로젝트 소유권 검증 결과를 확인하세요. 예제 코드는 https://example.com/api/v1/repos에 요청을 보내고, 200 응답 코드가 돌아오면 취약하다고 판단합니다. 이 코드를 실행하기 전에, Python이 설치되어 있어야 하며, requests 라이브러리가 설치되어 있어야 합니다.

Shell / Script 
python -c "import requests; response = requests.get('https://example.com/api/v1/repos'); if response.status_code == 200: print('{{"result": "취약", "reason": "프로젝트 소유권 검증 실패"}}'); else: print('{{"result": "양호", "reason": "프로젝트 소유권 검증 성공"}}')"

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N

💻 영향받는 소프트웨어

Git