CVE 데이터베이스CVE-2026-114199

최종 갱신 2026-11-06English Advisory →

CVE-2026-1141995.3/MEDIUMCWE-200CWE-203

Gitea API 히트맵 엔드포인트 정보 노출 취약점 (CVE-2026-114199)

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

gitea

대상 컴포넌트 / 패키지

gitea

권고문 발행일

2026-11-01

CVSS v3.1

5.3

MEDIUM

30일 악용확률

0.2%

FIRST.org

CISA KEV

미등재

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Gitea v28.3.0 미만 버전

파급 효과

퍼블릭 전용(Public-only) 토큰을 보유한 공격자가 비공개 저장소(Private Repository) 내의 기여도 횟수 및 15분 단위의 활동 시간대 정보를 무단으로 조회할 수 있습니다.

권장 조치

Gitea 인스턴스를 최신 패치 버전인 v28.3.0 이상으로 즉시 업그레이드하십시오.

영향받는 제품 및 버전 범위

Gitea v28.3.0 미만의 모든 버전 (v28.3.0에서 수정 완료)

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Gitea 공식 권고에 따라 시스템을 v28.3.0 이상으로 업그레이드하십시오. Docker 환경을 사용하는 경우 아래 명령어를 통해 최신 이미지로 갱신할 수 있습니다.

bash

# Docker Compose 환경 업그레이드 예시
# docker-compose.yml 파일 내 gitea 이미지 버전을 gitea/gitea:28.3.0 또는 최신 stable로 변경 후 실행
docker compose pull gitea
docker compose up -d

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

즉각적인 업그레이드가 어려운 경우, 리버스 프록시(Nginx 등)를 사용하여 외부로부터의 /api/v1/users/*/heatmap API 요청을 일시적으로 차단하거나 신뢰할 수 있는 IP 대역으로 제한할 수 있습니다.

nginx

# Nginx 리버스 프록시 설정 예시
server {
    listen 80;
    server_name gitea.internal.zone;

    location ~* ^/api/v1/users/[^/]+/heatmap$ {
        # 내부 IP 대역만 허용하고 나머지는 차단
        allow 10.0.0.0/8;
        allow 192.168.0.0/16;
        deny all;
        
        proxy_pass http://localhost:3000;
    }
}

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

Gitea의 HTTP 요청 로그에서 비정상적인 히트맵 API 호출 이력을 점검하기 위한 쉘 스크립트 예안입니다.

bash

# Gitea 액세스 로그에서 heatmap API 호출 패턴 및 응답 상태 코드 분석
# 퍼블릭 토큰을 이용한 대량의 히트맵 조회 시도가 있었는지 확인합니다.
grep -E 'GET /api/v1/users/[^/]+/heatmap' /var/log/gitea/access.log | awk '{print $1, $4, $7, $9}'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

Snyk Open Source & Container Security

Gitea 인스턴스의 비공개 활동 정보 노출을 방지하기 위해 즉시 v28.3.0 이상으로 업그레이드를 수행하십시오.

내 GitHub/GitLab 레포지토리에 이 취약한 패키지가 숨어 있는지 30초 만에 스캔하세요

간접 의존성(Transitive Dependency)에 포함된 취약점은 수동 확인이 불가능합니다. Git 연동 한 번으로 취약 버전 탐지부터 호환성을 유지하는 최소 버전 업그레이드 PR까지 자동 생성하세요.

무료 플랜 지원 · GitHub/GitLab 1클릭 연동

내 프로젝트 무료 취약점 스캔 시작하기

CI/CD 파이프라인에 자동 보안 스캐닝(SAST/SCA) 구축하는 실전 강의

커리큘럼 확인하기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2026-114199)은 오픈소스 Git 서비스인 Gitea의 API 엔드포인트 구현 상의 접근 제어 미흡으로 인해 발생합니다. 구체적으로 GET /api/v1/users/{username}/heatmap 엔드포인트는 사용자의 기여도 히트맵(Contribution Heatmap) 데이터를 계산할 때, 요청에 사용된 액세스 토큰 소유자의 전체 저장소 권한을 기준으로 연산을 수행합니다. 이 과정에서 토큰에 설정된 '퍼블릭 전용(Public-only)' 제한 설정을 누락하고 검증하지 않는 로직 결함이 존재합니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

일반적인 활동 피드(Activity Feed) 엔드포인트의 경우 퍼블릭 전용 토큰이 사용되면 비공개 저장소의 활동을 필터링하여 노출하지 않습니다. 그러나 취약한 히트맵 엔드포인트는 이 제한을 무시하므로, 해당 사용자의 퍼블릭 전용 토큰을 획득한 공격자는 API 호출을 통해 대상 사용자가 비공개 저장소에서 수행한 기여도 횟수와 15분 단위의 상세한 활동 시간대 버킷(Time Bucket) 데이터를 추출할 수 있습니다. 비록 저장소의 이름이나 구체적인 소스코드 콘텐츠 자체는 직접 노출되지 않으나, 비공개 프로젝트의 개발 활성도 및 작업 패턴이 외부에 노출되는 정보 누출(Information Disclosure)이 발생합니다.

3. 비즈니스 및 인프라 파급 영향

기업 환경에서 개발자의 작업 시간대 및 비공개 프로젝트의 커밋 빈도는 민감한 비즈니스 인텔리전스에 해당합니다. 경쟁사나 외부 공격자가 특정 비공개 프로젝트의 릴리스 주기, 개발 집중 시간대, 또는 신제품 개발 여부를 유추하는 데 악용될 수 있습니다. 또한, 이는 조직의 보안 컴플라이언스 규정을 위반하는 요인이 될 수 있으므로 신속한 패치 적용이 요구됩니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

`GET /api/v1/users/{username}/heatmap` computed the contribution heatmap with the repository access of the token owner and ignored the public-only restriction of the access token, unlike the activity feed endpoints. A holder of a user's public-only token could read contribution counts and their 15-minute time buckets that stem from that user's activity in private repositories. Repository names and contents were not disclosed. For public-only tokens the heatmap now only counts activity visible to anonymous users.

https://blog.gitea.com/release-of-28.3.0/

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/pull/39690

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/pull/39853

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/releases/tag/v28.3.0

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2

https://github.com/go-gitea/gitea/security/advisories/GHSA-jr76-w9m3-3p68

출처: 88ee5874-cf24-4952-aea0-31affedb7ff2