Private objects exposed through project import
不安全的直接对象引用 / IDOR / #767770
该报告还没有中文解读。
原文摘录
摘自原文（834 字符中的一小部分）
Summary This is a bypass of https://hackerone.com/reports/743953 , the current fix is blocking all "_ids" attributes. However an attacker could still set attributes like `issue_ids` by indrectly settings the field within the `attributes` field it self:
原文中的代码
# project.json
"attributes": {
"issue_ids": [ 29279725 ],
"description": "Set from attributes[description]"
},默认不展示报告全文。以上为简短摘录，完整复现过程请阅读原文。版权归研究员与 GitLab 所有。
时间线
- 报告提交
- 公开披露
阅读 HackerOne 原文 ↗作者 @saltyyolk · 版权归作者与 GitLab 所有