Как это произошло?
В версии 16.1.0 было внесено изменение, позволяющее пользователям сбрасывать свой пароль используя дополнительный адрес электронной почты. Уязвимость является результатом ошибки в процессе верификации электронной почты.
В микроблогах пишут, что PoC буквально такой:
user[email][]=valid@email.com&user[email][]=attacker@email.com
Пользователи, у которых включена двухфакторная аутентификация, уязвимы для сброса пароля, но не для захвата учетной записи, поскольку для входа в систему требуется второй фактор аутентификации.
Двухфакторка рулит. GitLab - решето. 🙂
@avleonovrus #GitLab