Una dirección de correo electrónico filtrada de un problema de GitLab permite a cualquiera enviar código y ejecutar trabajos de CI como si fueras tú.

La dirección de correo electrónico privada que GitLab te proporciona para reportar incidencias por correo electrónico es una credencial. Cualquiera que la obtenga puede enviar por correo electrónico un parche que GitLab confirma en tu nombre, a cualquier rama a la que puedas enviar cambios, incluida la principal, y puede iniciar trabajos de CI/CD que se ejecutan con tu nombre.

GitLab muestra esta dirección a cada usuario tras un botón con la etiqueta "Enviar elemento de trabajo por correo electrónico a este proyecto". Los correos enviados a esta dirección abren una incidencia en ese proyecto, creada por ti.

La cadena de caracteres en el centro de la dirección es un token vinculado a tu cuenta, y la documentación de GitLab indica que no caduca.

La dirección parece pertenecer a un solo proyecto. Sin embargo, no es así. Aikido Security, que reportó este comportamiento, descubrió que las direcciones que GitLab crea para los diferentes proyectos de un usuario comparten el mismo token, y que este token se aplica a todos los proyectos que la cuenta puede abrir, públicos o privados.

GitLab no verifica quién envió el correo electrónico. Cualquier buzón de correo puede escribir a esta dirección, y GitLab procesa el mensaje como si proviniera de ti. Quien tenga la dirección puede iniciar sesión como si fueras tú y actuar con tus permisos, sin necesidad de acceder a tu buzón de correo.