기티아 28.3.0 공개, OAuth2 계정 탈취 취약점 패치
기티아가 11월 1일 28.3.0 버전을 내고 CVE-2026-120263 등 보안 결함을 수정했다. 기본 설정에서는 영향받지 않는다.
오픈소스 코드 저장소 관리 플랫폼 기티아(Gitea)가 2026년 11월 1일 28.3.0 버전을 공개하고 CVE-2026-120263을 비롯한 여러 보안 문제를 수정했다. 기티아는 사용자들에게 신속한 업데이트를 권고했다. dailysecu.com이 이번 릴리스와 보안 권고 내용을 보도했다.
CVE-2026-120263은 OAuth2 계정 연동 과정의 계정 탈취 취약점이다. 공격자가 피해자의 비밀번호를 몰라도 자신의 외부 로그인 계정을 기존 기티아 계정에 연결할 수 있다. 이 취약점은 'ACCOUNT_LINKING = auto' 설정이 켜져 있고 신규 사용자 등록이 허용된 설치 환경에 영향을 준다. 기본 설정은 기존 계정의 비밀번호를 검증하기 때문에 해당되지 않는다.
공식 보안 권고에 따르면 이 결함은 앤스로픽의 AI 모델 클로드(Claude)가 발견했고, 도이엔섹(Doyensec) 연구진이 앤스로픽 리서치와 협력해 검증했다.
이번 버전에는 다른 결함에 대한 수정도 포함됐다. CVE-2026-113429는 기티아 액션스(Gitea Actions)의 아티팩트 다운로드 과정에 존재하는 저장형 XSS로, 기티아의 보안 컨텍스트에서 악성 스크립트가 실행될 수 있다. CVE-2026-112887은 자동화 작업용으로 발급된 토큰이 서버의 다른 비공개 저장소를 목록으로 조회할 수 있게 해, 해당 저장소의 존재와 관련 정보가 노출되는 문제다. 파일 내용 자체는 노출되지 않는다.
한눈에 보기
기티아 28.3.0은 언제 공개됐나?
2026년 11월 1일 공개됐으며, CVE-2026-120263 등 여러 보안 문제가 수정됐다.
CVE-2026-120263은 어떤 환경에서 영향을 주나?
'ACCOUNT_LINKING = auto' 설정이 켜져 있고 신규 사용자 등록이 허용된 설치 환경이다. 기본 설정은 기존 계정의 비밀번호를 검증한다.
CVE-2026-120263은 누가 발견했나?
앤스로픽의 AI 모델 클로드가 발견했고, 도이엔섹 연구진이 앤스로픽 리서치와 협력해 검증했다.