🇰🇷 한글 설명
Gitea의 Actions 워크플로우 상태 배지 엔드포인트가 저장소 읽기 권한이나 공개 저장소 제한을 강제하지 않습니다. 이로 인해 권한이 제한된 토큰을 사용하여 소유자의 비공개 저장소 워크플로우 상태를 조회할 수 있는 정보 노출 취약점이 존재합니다.
💡 쉬운 설명
권한이 낮은 사용자가 원래 볼 수 없는 비공개 프로젝트의 작업 상태를 몰래 확인할 수 있는 문제입니다. 보안 설정이 제대로 작동하지 않아 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
Gitea's Actions workflow status badge endpoint does not enforce repository-read scope or the public-only restriction on the token authenticating the request. A token lacking read:repository, or restricted to public repositories, can retrieve the latest workflow status of a private repository accessible to its owner. This discloses private workflow status beyond the token's intended delegated permissions.
📍 영향받는 시스템
Gitea (Actions workflow status badge 기능 사용 시)
⚔️ 공격 벡터
권한이 제한된 토큰을 사용하여 비공개 저장소의 워크플로우 상태 배지 엔드포인트에 접근
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하고 토큰 권한 검증 로직을 확인하십시오.
🔧 검증 코드
제한된 토큰으로 요청 시 200 OK가 아닌 403 Forbidden 또는 404 Not Found가 반환되어야 정상입니다.
curl -I -H "Authorization: Bearer <restricted_token>" <gitea_url>/api/v1/repos/<owner>/<private_repo>/actions/workflows/status_badge