⭐ 85
Sızan bir GitLab issue e-posta adresi herkesin sizin adınıza kod gönderip CI işleri çalıştırmasına olanak tanıyor
Aikido Security, GitLab’ın e-posta ile issue açmak için verdiği adresin aslında hesabınıza bağlı ve süresi dolmayan bir token taşıdığını ortaya çıkardı. Aynı token tüm projelerde geçerli olduğundan sızan adresle herkes sizin adınıza yama gönderebilir, birleştirme isteği açabilir ve CI/CD işlerini çalıştırabilir. Sorun IP kısıtlaması ve iki faktörlü kimlik doğrulamayı da atlıyor.