CVE-2026-119627 in Gitea
요약
\~에 의해 VulDB • 2026. 11. 01.
사용자 및 조직의 웹 프로필과 RSS/Atom 피드 라우트는 서명된 뷰어가 제한된 가시성(owner)을 가진 대상을 볼 수 있는지 여부만 확인했으며, 인증에 사용된 개인 액세스 토큰(PAT)의 `public-only`(공개 전용) 제약을 고려하지 않았습니다. 공개 전용 토큰을 보유한 모든 사용자는 HTTP Basic 인증을 통해 해당 토큰을 전송하여 익명 방문자에게는 숨겨지고 동일한 API 라우트에서 거부되는 제한된 가시성 사용자 및 조직의 프로필과 활동 피드를 읽을 수 있었습니다. 이 취약점으로 인해 존재 여부, 프로필 메타데이터 및 공개 활동이 유출되지만, 쓰기(write) 접근 권한은 부여되지 않습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.