🇰🇷 한글 설명
Gitea의 활동 피드 및 기여 히트맵 API 핸들러가 제한된 계정이 공개 범위가 제한된 사용자를 조회할 때 프로필 가시성 검사를 적용하지 않는 취약점입니다. 이로 인해 제한된 사용자가 프로필 경로에서는 거부된 활동 기록과 기여 타임스탬프를 가져올 수 있으며, 여기에는 저장소 이름, 커밋 메시지, 이슈 또는 풀 리퀘스트 이벤트가 포함될 수 있습니다.
💡 쉬운 설명
Gitea를 사용하는 사용자가 다른 사람의 비공개 활동 정보를 몰래 훔쳐볼 수 있는 보안 허점이 발견되었습니다. 이를 통해 공개되지 않아야 할 코드 수정 내용이나 작업 기록이 노출될 위험이 있습니다.
🇺🇸 원문 (English)
Gitea's activity-feed and contribution-heatmap API handlers do not apply the profile visibility check for restricted accounts viewing Limited-visibility users. A restricted user can retrieve activity records and contribution timestamps that the corresponding profile routes deny. Exposed activity can include repository names, commit messages, and issue or pull request events associated with qualifying public-repository activity.
📍 영향받는 시스템
Gitea (취약한 버전의 API 핸들러를 포함하는 모든 버전)
⚔️ 공격 벡터
제한된 권한을 가진 사용자가 특정 API 엔드포인트를 직접 호출하여 비공개 사용자의 활동 데이터를 요청함
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하여 API 핸들러의 프로필 가시성 검사 로직을 수정해야 합니다.
🔧 검증 코드
제한된 계정으로 API 호출 시 200 OK가 반환되면 취약한 상태이며, 403 Forbidden이 반환되면 정상적으로 차단된 것입니다.
curl -s -I http://<gitea-host>/api/v1/user/activity | grep -E 'HTTP/1.1 200|HTTP/1.1 403'