🔍 CVE-2026-20888

4.3
CVSS Score
MEDIUM
2026-01-22
2026-01-23 22:16
✅ 완료

🇰🇷 한글 설명

Gitea에서 자동 병합을 취소할 때 적절한 인증을 수행하지 않아 읽기 접근 권한이 있는 사용자가 다른 사용자가 예약한 자동 병합을 취소할 수 있는 취약점

💡 쉬운 설명

Gitea에서 자동 병합을 취소할 때 적절한 인증을 수행하지 않아 읽기 접근 권한이 있는 사용자가 다른 사용자가 예약한 자동 병합을 취소할 수 있습니다. 이는 시스템의 안정성과 보안을 위협할 수 있습니다. 사용자는 자신의 계정과 시스템을 보호하기 위해 취약점을 조치해야 합니다.

🇺🇸 원문 (English)

Gitea does not properly verify authorization when canceling scheduled auto-merges via the web interface. A user with read access to pull requests may be able to cancel auto-merges scheduled by other users.

📍 영향받는 시스템

Gitea

⚔️ 공격 벡터

웹 인터페이스를 통한 취약점 공격

🛡️ 대응 방법

Gitea를 최신 버전으로 업데이트하고, 자동 병합 취소 기능에 대한 인증을 강화합니다.

🔧 검증 코드

로컬 시스템에서 Python을 설치하고, requests 라이브러리를 설치한 후에 위의 코드를 실행합니다. {owner}, {repo}, {pull_number}을 실제 값으로 대체하고, example.com을 실제 Gitea 서버 주소로 대체합니다. 코드를 실행하기 전에 Gitea 서버에 대한 읽기 접근 권한이 있는 계정의 인증 정보를 설정해야 합니다.

Shell / Script 
import requests
response = requests.get('https://example.com/api/v1/repos/{owner}/{repo}/pulls/{pull_number}/merge')
if response.status_code == 200:
    print({"result": "취약", "reason": "자동 병합 취소 기능에 대한 인증이 수행되지 않음"})
else:
    print({"result": "양호", "reason": "자동 병합 취소 기능에 대한 인증이 수행됨"})

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

Git