Uma vulnerabilidade no GitLab permite que qualquer pessoa que obtenha o endereço de e-mail privado fornecido para registrar problemas por e-mail possa enviar um patch que é commitado em seu nome, para qualquer branch que você possa acessar, incluindo o branch principal, e iniciar trabalhos de CI/CD que sejam executados como você.
Detalhes Técnicos
O endereço de e-mail privado é um credencial que pode ser usado para enviar patches e iniciar trabalhos de CI/CD.
Qualquer pessoa que obtenha esse endereço pode enviar um patch que é commitado em seu nome.
O endereço de e-mail é exibido atrás de um botão rotulado como "Email work item to this project".
O envio de e-mail para esse endereço abre um problema no projeto, com o autor sendo você.
Recomendações
Verifique se o endereço de e-mail privado foi exposto.
Atualize o GitLab para a versão mais recente.
Restrinja o acesso ao branch principal.
Monitore os trabalhos de CI/CD em busca de atividades suspeitas.
