上周看到这个号称仅用 git push 就实现了对 GitHub 服务器的远程控制。这篇文章介绍了攻击原理，没想到实际上这么草台。
网关服务 babeld 接收用户请求，进行身份验证后，就会设置
X-Stat header 作为内部服务通信的关键权限信息。然而，X-Stat 作为重要的内部属性，居然允许直接拼接外部的用户输入，而且在拼接时没有进行 sanitize 处理，导致攻击者可以简单的使用 ; 来实现任意注入。这么重要的内部权限字段，居然接受明文的用户输入。这种低级错误应该连 GitHub 免费提供的 CodeQL 都能扫出来，太不应该了。
