--- title: "Ujawnione adresy e-mail GitLaba mogą prowadzić do zmian w kodzie" description: "Ujawnione adresy e-mail GitLaba zawierają długotrwałe tokeny, które mogą pozwolić na tworzenie zgłoszeń i merge requestów. Wyjaśniamy, jakie zagrożenia powstają po opublikowaniu takich adresów w dokumentacji projektu." publisher: "Najnowsze Informacje" language: "pl-PL" canonical_url: "https://najnowsze-informacje.pl/technologie/ujawnione-adresy-e-mail-gitlaba-moga-prowadzic-do-zmian-w-kodzie" markdown_url: "https://najnowsze-informacje.pl/technologie/ujawnione-adresy-e-mail-gitlaba-moga-prowadzic-do-zmian-w-kodzie/index.md" date_published: "2026-09-24T23:26:46.582Z" date_modified: "2026-09-24T23:26:52.215Z" author: "Redakcja" category: "Technologie" tags: - "gitlab" - "cyberbezpieczeństwo" - "bezpieczeństwo kodu" - "open-source" source_url: "https://www.bleepingcomputer.com/news/security/exposed-gitlab-project-email-addresses-let-attackers-push-code/" source_name: "BleepingComputer" image_url: "https://najnowsze-informacje.pl/api/media/file/tech-unsplash-1790272883024.jpeg" image_alt: "monitor showing Java programming" image_credit: "© Ilya Pavlov / Unsplash" image_credit_url: "https://unsplash.com/@ilyapavlov" --- # Ujawnione adresy e-mail GitLaba mogą prowadzić do zmian w kodzie > Badacze ostrzegają, że ujawnione w dokumentacji prywatne adresy e-mail GitLaba mogą pozwolić na działania w imieniu deweloperów. ## Kluczowe informacje - Prywatne adresy GitLaba zawierają token powiązany z kontem dewelopera. - Zmiana końcówki adresu może pozwolić na utworzenie merge requestu. - Skutki ataku zależą od uprawnień konta i projektu. - Maintainerzy powinni usunąć adresy z publicznej dokumentacji i zresetować tokeny. Badacze z firmy Aikido ostrzegają przed prywatnymi adresami e-mail GitLaba, które są publikowane w README, instrukcjach dla współtwórców oraz stronach służących do zbierania zgłoszeń błędów. Adresy wyglądają jak wygodny kanał kontaktu z opiekunami projektu, ale w rzeczywistości zawierają długotrwały token powiązany z kontem dewelopera. Jego ujawnienie może pozwolić osobie z zewnątrz na wykonywanie określonych operacji w projekcie w imieniu właściciela konta. ## Prywatny adres działa jak poświadczenie Problem dotyczy wbudowanej funkcji GitLaba o nazwie Email work item to this project. Usługa automatycznie generuje adres, na który można wysłać wiadomość. GitLab przetwarza jej treść i tworzy na tej podstawie zgłoszenie lub zadanie w projekcie. Adres nie jest jednak zwykłym aliasem kontaktowym. Zawiera ciąg zaczynający się od glimt-, który pełni funkcję poświadczenia i pozostaje powiązany z projektem oraz kontem użytkownika. Badacze wskazują, że podobny token jest obecny w kolejnych adresach generowanych dla danego projektu. - Wiadomość wysłana na prywatny adres może zostać zamieniona przez GitLaba na issue lub inne zadanie. - Zmiana końcówki -issue na -merge-request może spowodować utworzenie merge requestu. - GitLab nie sprawdza, czy adres nadawcy wiadomości odpowiada adresowi e-mail właściciela tokenu. - Testy Aikido wykazały, że operacje wykonane przez ten mechanizm omijają ograniczenia oparte na adresach IP. ## Skutki zależą od uprawnień konta Samo znalezienie adresu nie daje automatycznie pełnej kontroli nad projektem. Zakres możliwych działań pozostaje ograniczony uprawnieniami użytkownika, z którym powiązano token. Jeżeli konto może modyfikować kod, utworzenie odpowiedniego merge requestu może otworzyć drogę do zmian w repozytorium, także w przypadku chronionych gałęzi. W zależności od konfiguracji i uprawnień możliwe mogą być również uruchamianie procesów CI/CD, dostęp do prywatnych repozytoriów, odczyt sekretów przechowywanych w zmiennych CI/CD oraz dostęp do poufnych zgłoszeń. Atakujący potrzebuje także ścieżki projektu i jego identyfikatora. W projektach publicznych te informacje są zwykle dostępne w samym serwisie. W przypadku projektu prywatnego identyfikator może być odgadnięty metodą brute force, ale ścieżka projektu musi wcześniej wyciec. Ograniczenia wynikające z uprawnień konta nie mogą zostać w ten sposób zniesione. Problem polega na tym, że GitLab przetwarza wiadomość tak, jakby pochodziła od właściciela tokenu, niezależnie od skrzynki, z której została wysłana. ## Adresy trafiały do publicznej dokumentacji Aikido znalazło w ciągu jednego popołudnia około tuzina aktywnych adresów w publicznych plikach README, poradnikach dla współtwórców i stronach pomocy. W wielu przypadkach adresy zostały umieszczone tam celowo, aby użytkownicy mogli przesyłać opiekunom zgłoszenia błędów. Badacze znaleźli je także w popularnych projektach open source, co zwiększa ryzyko dla łańcucha dostaw oprogramowania. Jeśli ktoś przejmie możliwość wykonywania operacji w takim projekcie, potencjalne skutki mogą dotknąć nie tylko jego maintainerów, lecz także osoby korzystające z publikowanego kodu. Aikido zgłosiło problem GitLabowi przez platformę HackerOne w maju, ale zgłoszenie zostało zamknięte jako zgodne z zamierzonym działaniem. Po ponownym powiadomieniu w czerwcu GitLab zaktualizował interfejs, aby wyraźniej wspominał o tworzeniu merge requestów, usunął nieprawdziwe informacje dotyczące dostępu tokenu do danych i opisał fakt omijania ograniczeń adresów IP przez wiadomości przychodzące. Dokumentacja GitLaba ostrzega, że prywatnego adresu nie należy udostępniać. Jeżeli został ujawniony, opiekun projektu powinien usunąć go z publicznych materiałów i natychmiast zresetować powiązany token. ## Wyjaśnienie pojęć ### [token uwierzytelniający](https://najnowsze-informacje.pl/definicje/token-uwierzytelniajacy) Ciąg danych potwierdzający tożsamość użytkownika lub jego uprawnienie do dostępu do usługi. Może zastępować hasło albo działać jako dodatkowy element uwierzytelniania. ### [CI/CD](https://najnowsze-informacje.pl/definicje/cicd) Zbiorcze określenie praktyk automatyzujących budowanie, testowanie i dostarczanie oprogramowania. CI oznacza ciągłą integrację zmian, a CD ich ciągłe dostarczanie lub wdrażanie. ### [Łańcuch dostaw oprogramowania](https://najnowsze-informacje.pl/definicje/lancuch-dostaw-oprogramowania) Łańcuch dostaw oprogramowania obejmuje narzędzia, pakiety i procesy używane do tworzenia, przechowywania oraz wdrażania aplikacji. ## Źródło pierwotne [BleepingComputer](https://www.bleepingcomputer.com/news/security/exposed-gitlab-project-email-addresses-let-attackers-push-code/) --- ## Informacje do cytowania - **Autor:** Redakcja - **Data publikacji:** 2026-09-24T23:26:46.582Z - **Ostatnia aktualizacja:** 2026-09-24T23:26:52.215Z - **Kategoria:** Technologie - **Adres kanoniczny:** [https://najnowsze-informacje.pl/technologie/ujawnione-adresy-e-mail-gitlaba-moga-prowadzic-do-zmian-w-kodzie](https://najnowsze-informacje.pl/technologie/ujawnione-adresy-e-mail-gitlaba-moga-prowadzic-do-zmian-w-kodzie) - **Wersja Markdown:** [https://najnowsze-informacje.pl/technologie/ujawnione-adresy-e-mail-gitlaba-moga-prowadzic-do-zmian-w-kodzie/index.md](https://najnowsze-informacje.pl/technologie/ujawnione-adresy-e-mail-gitlaba-moga-prowadzic-do-zmian-w-kodzie/index.md) **Sugerowane cytowanie:** > Najnowsze Informacje, „Ujawnione adresy e-mail GitLaba mogą prowadzić do zmian w kodzie”, 2026-09-24, https://najnowsze-informacje.pl/technologie/ujawnione-adresy-e-mail-gitlaba-moga-prowadzic-do-zmian-w-kodzie