HackerOne

GitLabで公開されたメールアドレスにより、攻撃者がマージリクエストの作成やコードのプッシュを行える可能性

Aikidoは、GitLabプロジェクトに作業項目を送信する機能のメールアドレスが公開文書に掲載されることがあり、攻撃者に被害者アカウントの権限でイシューやマージリクエストを作成する能力を与えかねないと警告した。アカウントの権限によっては、コードの変更、CI/CDジョブの実行、非公開リポジトリや秘密情報へのアクセスにつながる可能性がある。