Direcciones de correo electrónico privadas de GitLab que permiten a los desarrolladores enviar incidencias o tareas a un proyecto están siendo expuestas deliberadamente en archivos README, guías de contribución y páginas de soporte utilizadas para recopilar informes de errores.
Estas direcciones forman parte de una función integrada de GitLab llamada "Enviar elemento de trabajo por correo electrónico a este proyecto" y contienen un token permanente vinculado a la cuenta del desarrollador.
Estas direcciones se generan automáticamente y contienen una cadena que sirve como credencial para crear elementos de trabajo por correo electrónico. Cuando un cliente externo envía un mensaje a una de ellas, GitLab lo interpreta como una incidencia o tarea del proyecto.
Investigadores de la empresa de seguridad de aplicaciones Aikido encontraron varias direcciones privadas de GitLab expuestas en documentación pública y advierten sobre el riesgo asociado.
Un atacante podría utilizarlas para comprometer cuentas de GitLab en ataques que envíen código a ramas protegidas de repositorios privados, roben código fuente, recopilen secretos de variables de CI/CD o accedan a incidencias confidenciales.
Cada una de estas direcciones privadas de GitLab incluye una cadena "glimt-" que actúa como credencial para acceder al proyecto y que se mantiene en todas las direcciones similares generadas para el proyecto correspondiente.
Un atacante no autenticado puede leer cualquier archivo al que tenga acceso la cuenta de servicio en Gitea, la plataforma Git autoalojada, en las versiones 1.22...
Leer artículo →Una nueva vulnerabilidad del kernel de Linux, identificada como CVE-2026-53264, permite a un usuario local ejecutar código arbitrario y obtener privilegios de a...
Leer artículo →Una nueva prueba de concepto revela cómo los atacantes pueden convertir a Microsoft Copilot, el asistente de IA integrado en Microsoft 365, en un cómplice invol...
Leer artículo →