CVE-2026-114199 in Gitea
요약
\~에 의해 VulDB • 2026. 11. 01.
`GET /api/v1/users/{username}/heatmap`은 토큰 소유자의 저장소 접근 권한을 기반으로 기여도 히트맵을 계산했으며, 활동 피드 엔드포인트와 달리 액세스 토큰의 공개 전용(public-only) 제한 사항을 무시했습니다. 사용자의 공개 전용 토큰을 보유한 공격자는 해당 사용자에 대한 비공개 저장소 내 활동에서 파생된 기여 횟수 및 15분 단위 시간 버킷을 읽을 수 있습니다. 저장소 이름과 콘텐츠는 노출되지 않았습니다. 이제 공개 전용 토큰의 히트맵은 익명 사용자에게 보이는 활동만 카운팅합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.