🔍 CVE-2026-27761

4.3
CVSS Score
MEDIUM
2026-07-03
2026-10-25 15:10
✅ 완료

🇰🇷 한글 설명

Gitea 1.26.2 이하 버전에서 저장소의 RSS 및 Atom 피드 엔드포인트가 API 액세스 토큰의 권한 범위 검사를 우회하는 취약점이 발견되었습니다. 이로 인해 적절한 저장소 권한이 없는 토큰을 통해서도 비공개 저장소의 커밋 데이터가 노출될 수 있습니다.

💡 쉬운 설명

권한이 낮은 열쇠를 가진 사람이 몰래 비공개 저장소의 업데이트 내용을 훔쳐볼 수 있는 보안 구멍이 발견되었습니다. 이로 인해 중요한 코드 변경 내역이 외부로 유출될 위험이 있습니다.

🇺🇸 원문 (English)

Gitea versions up to and including 1.26.2 allow repository RSS and Atom feed endpoints to bypass API access token scope checks, exposing private repository commit data to tokens without the required repository scope.

📍 영향받는 시스템

Gitea 1.26.2 및 그 이전의 모든 버전

⚔️ 공격 벡터

권한 범위가 제한된 API 토큰을 사용하여 RSS/Atom 피드 엔드포인트에 접근하여 비공개 데이터를 탈취

🛡️ 대응 방법

Gitea를 최신 보안 패치가 적용된 버전으로 즉시 업데이트하십시오.

🔧 검증 코드

출력 결과가 'Vulnerable'이면 취약한 버전이며, 'Safe'이면 안전한 버전입니다.

Shell / Script 
curl -s http://<gitea-url>/api/version | grep -E '"version": "1\.[0-9]+\.[0-9]+"' | awk -F'"' '{print $4}' | awk -F. '$3 <= 26.2 {exit 1; print "Vulnerable"; exit 0} {print "Safe"; exit 0}'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N

💻 영향받는 소프트웨어

Git