🇰🇷 한글 설명
Gitea 1.25.5 미만 버전에서 추적된 시간 항목을 나열할 때 권한 확인이 불충분하게 이루어지는 취약점이 발견되었습니다. 이로 인해 권한이 없는 사용자가 다른 사용자의 시간 기록 정보를 열람할 수 있습니다.
💡 쉬운 설명
Gitea라는 프로그램에서 권한이 없는 사람이 다른 사람의 업무 시간 기록을 몰래 볼 수 있는 문제입니다. 보안 설정이 제대로 되어 있지 않아 발생하는 정보 노출 취약점입니다.
🇺🇸 원문 (English)
Gitea versions before 1.25.5 have insufficient permission checks when listing tracked time entries.
📍 영향받는 시스템
Gitea 1.25.5 미만 모든 버전
⚔️ 공격 벡터
권한이 낮은 사용자가 적절한 API 요청 또는 페이지 접근을 통해 타인의 시간 기록 목록을 조회
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 1.25.5 버전 이상으로 업데이트
🔧 검증 코드
Gitea 서비스의 버전 정보가 1.25.5 미만인지 확인하여 취약 여부를 판단합니다.
curl -s http://localhost:3000/api/swagger | grep -i 'version' || echo 'Check Gitea version via web UI or CLI'