Exponerade e-postadresser för GitLab-projekt kan låta angripare skicka in kod

Utvecklare som publicerar en privat e-postadress för GitLab-projekt för att samla in felrapporter kan också ge angripare ett sätt att skapa arbetsobjekt i deras namn. Forskare på Aikido hittade aktiva adresser i offentlig projektdokumentation och varnade för att samma inloggningsuppgifter kan möjliggöra merge requests.

Privata adresser innehåller långlivade tokens

GitLab låter användare skapa projektärenden eller uppgifter genom att skicka ett e-postmeddelande till en särskilt genererad adress. Adressen innehåller en glimt--token som är kopplad till användarens konto. GitLab använder denna token för att behandla inkommande meddelanden som arbete från kontoägaren.

Dessa adresser är avsedda att förbli privata. Aikido hittade dem dock i offentliga README-filer, bidragsguider och supportsidor. Vissa projektansvariga hade publicerat adresserna så att personer kunde skicka felrapporter via e-post.

Angripare kan ändra adressen för att skapa merge requests

Enligt Aikido kan någon som får tag på en adress ändra dess suffix -issue till -merge-request. GitLab accepterar då e-post som skickas till den modifierade adressen som en merge request från tokenägaren.

Avsändaren behöver inte använda ägarens e-postkonto. Aikidos tester visade också att inkommande e-post kringgick GitLabs begränsningar för IP-adresser.

Vilken åtkomst en angripare får beror på tokenägarens behörigheter. Under vissa omständigheter kan den resulterande aktiviteten påverka privata kodarkiv, kodändringar eller CI/CD-processer. En angripare behöver också målprojektets sökväg och ID. Att enbart känna till e-postadressen tar inte bort dessa krav.

Forskare hittade adresser i offentlig dokumentation

Aikido hittade omkring ett dussin aktiva inkommande adresser under en eftermiddags sökande. Några tillhörde populära projekt med öppen källkod.

Forskarna rapporterade problemet till GitLab i maj 2026. GitLab avslutade rapporten och klassificerade beteendet som avsett. Efter en uppföljning i juni uppdaterade GitLab sitt gränssnitt och sin dokumentation för att förklara funktionen för merge requests och effekten på IP-begränsningar.

GitLabs dokumentation varnar användare för att hålla dessa adresser privata. Den uppger att alla som känner till en sådan adress kan skapa ärenden eller merge requests som dess ägare.

Projektansvariga bör återställa exponerade tokens

Projektansvariga bör ta bort alla publicerade e-postadresser för GitLab-projekt från offentlig dokumentation. Om en adress redan har publicerats offentligt bör de återställa dess token och granska projektet efter oväntade arbetsobjekt eller merge requests.