Navegación

Las direcciones de correo electrónico de proyectos de GitLab expuestas permiten a los atacantes enviar código.

fuente: https://www.bleepingcomputer.com/news/security/exposed-gitlab-project-email-addresses-let-attackers-push-code/

Direcciones de correo electrónico privadas de GitLab que permiten a los desarrolladores enviar incidencias o tareas a un proyecto están siendo expuestas deliberadamente en archivos README, guías de contribución y páginas de soporte utilizadas para recopilar informes de errores.

Estas direcciones forman parte de una función integrada de GitLab llamada "Enviar elemento de trabajo por correo electrónico a este proyecto" y contienen un token permanente vinculado a la cuenta del desarrollador.

Estas direcciones se generan automáticamente y contienen una cadena que sirve como credencial para crear elementos de trabajo por correo electrónico. Cuando un cliente externo envía un mensaje a una de ellas, GitLab lo interpreta como una incidencia o tarea del proyecto.

Investigadores de la empresa de seguridad de aplicaciones Aikido encontraron varias direcciones privadas de GitLab expuestas en documentación pública y advierten sobre el riesgo asociado.

Un atacante podría utilizarlas para comprometer cuentas de GitLab en ataques que envíen código a ramas protegidas de repositorios privados, roben código fuente, recopilen secretos de variables de CI/CD o accedan a incidencias confidenciales.

Cada una de estas direcciones privadas de GitLab incluye una cadena "glimt-" que actúa como credencial para acceder al proyecto y que se mantiene en todas las direcciones similares generadas para el proyecto correspondiente.

Últimas noticias

27 DE JULIO, 2026

TELESHIM abusa de Telegram como centro de mando y control en ataques contra gobiernos de Oriente Medio.

Investigadores de ciberseguridad han detectado nueva actividad maliciosa por parte de un grupo de ciberdelincuentes vinculado al este de Asia, que ataca a entid...

Leer artículo →
27 DE JULIO, 2026

CVE-2026-49176: Se publica una prueba de concepto (PoC) de la vulnerabilidad de elevación de privilegios de Windows WalletService.

CVE-2026-49176 es una vulnerabilidad de elevación de privilegios en Windows WalletService. Permite que un usuario estándar obtenga derechos de SYSTEM en un equi...

Leer artículo →
27 DE JULIO, 2026

Fiscales estadounidenses acusan a un hombre de Atlanta después de que su teléfono con sistema operativo GrapheneOS se borrara solo durante un registro

A federal case in Atlanta is raising questions about a privacy-focused mobile operating system, with prosecutors arguing that its features were used to erase ev...

Leer artículo →