🇰🇷 한글 설명
Gitea 1.26.1 및 그 이전 버전에서 issue-template API 엔드포인트에 대한 저장소 단위 권한 부여가 강제되지 않는 취약점이 발견되었습니다. 이로 인해 권한이 없는 사용자가 특정 저장소의 이슈 템플릿 관련 API에 접근할 수 있습니다.
💡 쉬운 설명
Gitea라는 프로그램에서 특정 저장소에 접근 권한이 없는 사람도 이슈 양식을 만드는 기능을 몰래 사용할 수 있는 문제입니다. 보안 설정이 제대로 작동하지 않아 허가되지 않은 사용자가 시스템의 일부 기능을 이용할 수 있습니다.
🇺🇸 원문 (English)
Gitea versions up to and including 1.26.1 do not enforce repository-unit authorization on issue-template API endpoints.
📍 영향받는 시스템
Gitea versions up to and including 1.26.1
⚔️ 공격 벡터
권한이 없는 사용자가 issue-template API 엔드포인트에 직접 요청을 보내는 방식
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전(1.26.2 이상 또는 최신 안정 버전)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 1.26.1 이하인지 확인하여 취약 여부를 판단합니다.
curl -s http://<gitea-host>/api/v1 | grep -oE '"version":"[^"]+"'