Email token e GitLab në README mund t'u lejojnë sulmuesve të dërgojnë kod

Adresat private të emailit të GitLab, një veçori e integruar që synon t'u lejojë zhvilluesve të krijojnë çështje ose detyra me email, janë gjetur të ekspozuara në dokumentacion publik në shumë projekte, sipas raportit të BleepingComputer të 24 shtatorit 2026 mbi kërkimin e kompanisë së sigurisë së aplikacioneve Aikido. Adresat janë pjesë e një veçorie të GitLab të quajtur "Email work item to this project" dhe përmbajnë një token afatgjatë të lidhur me llogarinë e zhvilluesit.

Veçoria i gjeneron këto adresa private automatikisht. Çdo adresë përmban një varg sekret që vepron si fjalëkalim, dhe kur një klient i jashtëm dërgon një email në njërën prej tyre, GitLab e analizon mesazhin si një çështje ose detyrë projekti. Aikido gjeti shumë adresa private në README publike, udhëzues kontributi dhe faqe mbështetjeje, dhe studiuesit paralajmërojnë se rreziku i lidhur është serioz. Një sulmues që njeh një adresë të tillë mund ta përdorë atë për të komprometuar llogaritë e GitLab në mënyra që dërgojnë kod në degë të mbrojtura të depove private, vjedhin kodin burimor, mbledhin sekrete nga variablat CI/CD ose aksesojnë çështje konfidenciale.

Analiza e Aikido tregon se çdo adresë private përmban një varg "glimt-" që vepron si kredencial për aksesin në projekt. I njëjti kredencial vazhdon të ekzistojë në të gjitha adresat e ngjashme të gjeneruara për atë projekt. Sipas studiuesve, ndryshimi i sufiksit "-issue" në adresën e emailit në "-merge-request" bën që GitLab të hapë një kërkesë për bashkim. Në parim, kontrolli që adresa e dërguesit përputhet me emailin e pronarit të tokenit do të shtonte një shtresë mbrojtjeje, por GitLab aktualisht nuk e bën këtë, megjithëse kompania tani po e shqyrton. Studiuesit gjithashtu deklarojnë se çdo kuti postare në internet mund të dërgojë në atë adresë, dhe GitLab e përpunon mesazhin si pronari i tokenit. Testet e Aikido treguan se sulmi anashkalon edhe kufizimet e adresave IP.

Niveli i aksesit varet nga lejet e llogarisë që zotëron tokenin. Një sulmues mund ta përdorë atë për të dërguar kod në degë të mbrojtura, për të ekzekutuar punë CI/CD, për të aksesuar depo private ose për të marrë sekrete nga variablat e ruajtura. Variablat CI/CD janë cilësime të përdorura nga tubacionet automatike të ndërtimit, testimit dhe vendosjes që shpesh përmbajnë fjalëkalime dhe sekrete të tjera. Aikido vëren se, përveç kufizimit të lejeve, i cili nuk mund të anashkalohet, një sulmues ka nevojë edhe për shtegun dhe ID-në e projektit të synuar. Në projektet publike ky informacion është i disponueshëm publikisht, ndërsa në projektet private ID-ja mund të merret me forcë brutale, që do të thotë të hamendësohet vazhdimisht derisa të gjendet e sakta, por shtegu do të duhej të rrjedhte.

Dokumentacioni i GitLab paralajmëron se këto adresa janë private dhe "të gjeneruara vetëm për ju". Ai u thotë përdoruesve ta mbajnë adresën për vete, sepse kushdo që e njeh atë mund të krijojë çështje ose kërkesa për bashkim sikur të ishte pronari, dhe ta rivendosin tokenin menjëherë nëse dyshojnë se ka rrjedhur. Në një pasdite, studiuesit e Aikido gjetën një duzinë adresash aktive të emailit hyrës të GitLab në README publike, udhëzues kontributi dhe faqe mbështetjeje. Studiuesit thonë se adresat ishin përfshirë qëllimisht në dokumentacionin publik për të mbledhur raporte defektesh nga përdoruesit. Në shumë raste ekspozimi preku projekte të njohura me burim të hapur, duke krijuar rreziqe zinxhiri furnizimi për baza të mëdha përdoruesish. Disa i përkisnin projekteve me burim të hapur shumë të njohura, tha Aikido. Aikido e raportoi problemin në GitLab përmes HackerOne, një platformë për raportimin e dobësive të sigurisë, në maj 2026, por GitLab e mbylli si sjellje të synuar. Një njoftim i dytë në qershor 2026 e shtyu GitLab të përditësojë ndërfaqen e përdoruesit për të përmendur kërkesat për bashkim, për të hequr deklaratat e rreme për aksesin në të dhënat e tokenit dhe për të dokumentuar se emaili hyrës anashkalon kufizimet e IP-së. Mirëmbajtësit e projekteve duhet të ndalojnë ekspozimin vullnetar të atij informacioni në dokumentacionin publik dhe të rivendosin tokenët për projektet ku i ekspozuan në të kaluarën.

Për pronarët e faqeve të internetit dhe ekipet e IT-së që mirëmbajnë kod ose dokumentacion publik, përfundimi praktik është të trajtojnë çdo adresë emaili projekti si një kredencial, jo si një kontakt publik. AEU-I, shërbimi i konsulencës për IT dhe infrastrukturë me siguri të parë të AEU Group, mund t'i ndihmojë organizatat të rishikojnë kodin dhe dokumentacionin e tyre publik për tokenë projekti të ekspozuar përpara se një sulmues t'i gjejë ato. Mbrojtja më e mirë është të hiqen adresat nga faqet publike dhe të rivendosen çdo token që është shfaqur tashmë atje.