🇰🇷 한글 설명
비공개 저장소를 권한이 없는 사용자에게 이전할 때, Gitea는 검토를 위해 해당 사용자에게 임시 읽기 권한을 부여합니다. 그러나 이전 요청을 거절하거나 취소하더라도 이 협업 권한이 삭제되지 않아, 수신자가 저장소의 코드, 이슈, 위키 등에 대해 지속적인 읽기 권한을 유지하는 취약점이 발견되었습니다.
💡 쉬운 설명
저장소 소유권을 넘겨받기로 한 사람이 제안을 거절해도, 실수로 저장소 내용을 계속 볼 수 있는 권한이 남는 문제입니다. 이로 인해 권한이 없는 사람이 남의 비공개 코드를 몰래 계속 볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
When a private repository is transferred to a user who lacks access, Gitea grants that recipient temporary read access as a collaborator so they can review the repository. Rejecting or cancelling the transfer did not revoke this collaboration, so the named recipient kept persistent read access to the private repository, including its code, issues, pull requests and wiki, and could clone it. The repository owner was not notified. Transfer-granted access is now removed while collaborations that existed before the transfer are preserved.
📍 영향받는 시스템
Gitea (패치 적용 전 버전)
⚔️ 공격 벡터
저장소 이전 요청을 받은 사용자가 이전을 거절함으로써 비정상적인 읽기 권한을 유지함
🛡️ 대응 방법
Gitea를 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 버전이 취약점이 해결된 최신 버전인지 공식 보안 공지를 통해 확인하십시오.