Утечка адресов GitLab позволила отправлять код прямо в main

Исследователи Aikido нашли в открытой документации действующие служебные адреса GitLab, через которые можно создавать задачи, merge request и даже запускать CI/CD-задачи от имени владельца аккаунта. В некоторых случаях это позволяло отправить коммит в ветку main приватного проекта, несмотря на IP-ограничения. GitLab уже скорректировала описание функции, но сам механизм работы токена не изменила.

@forgeeks | @forgeeksflash