🇰🇷 한글 설명
Gogs 오픈소스 Git 서비스의 0.14.3 미만 버전에서 권한 검증 미흡으로 인해 발생하는 취약점입니다. 쓰기 권한만 가진 협업자가 관리자 권한이 필요한 API 엔드포인트를 직접 호출하여 이슈 트래커를 비활성화하거나, 위키 URL을 조작하거나, 미러 동기화를 트리거할 수 있습니다.
💡 쉬운 설명
일반 사용자(쓰기 권한자)가 관리자만 할 수 있는 중요한 설정들을 마음대로 바꿀 수 있는 보안 구멍이 발견되었습니다. 이를 통해 악성 사이트로 연결되도록 설정을 바꾸거나 저장소 기능을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
Gogs is an open source self-hosted Git service. Prior to 0.14.3, three API endpoints — PATCH /api/v1/repos/:owner/:repo/issue-tracker, PATCH /api/v1/repos/:owner/:repo/wiki, and POST /api/v1/repos/:owner/:repo/mirror-sync — are gated by reqRepoWriter() rather than reqRepoAdmin(). The equivalent operations in the web UI sit behind reqRepoAdmin, which requires AccessMode >= AccessModeAdmin. A write-level collaborator (who has AccessMode == AccessModeWrite < AccessModeAdmin) can therefore call these API endpoints directly to disable the native issue tracker or wiki, inject attacker-controlled external tracker/wiki URLs that redirect all repository visitors, or trigger mirror sync — none of which they are authorized to do. This vulnerability is fixed in 0.14.3.
📍 영향받는 시스템
Gogs versions prior to 0.14.3
⚔️ 공격 벡터
권한이 낮은 사용자가 관리자 전용 API 엔드포인트에 직접 HTTP 요청을 보내는 방식
🛡️ 대응 방법
Gogs를 최신 버전인 0.14.3 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 0.14.3 미만인 경우 해당 취약점에 노출된 상태입니다.
curl -s http://<target-ip>:<port>/api/v1/version | grep -v '0.14.3'