gitlab漏洞系列-guest用户可以从组发布接口看到发布Tag

gitlab漏洞系列-guest用户可以从组发布接口看到发布Tag

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

背景

ashish_r_padelkar小哥于20年12月份提交了这个漏洞: 根据文档https://docs.gitlab.com/ee/user/permissions.html, Guest用户可以访问GitLab发行版来下载资产，但不允许下载源代码，也不允许查看标签和提交(commits)等仓库信息。在私有项目中，当他们直接导航到/-/releases的发布页面时,他们在这里看不到Tag(标签); 然而,发行版https://gitlab.com/groups/<GroupName>/-/releases.json的group端点却泄露了这样的标签信息。

复现步骤

1.创建一个组和并在下面创建一个私有项目。

2.在https://gitlab.com/<GroupName>/<ProjectName>/-/releases的私人项目中创建一个版本。

3.在group中添加guest用户;

4.以Guest用户身份登录，并直接导航到https://gitlab.com/<GroupName>/<ProjectName>/-/releases, 你将不会看到release版本的标签信息;

5.现在使用https://gitlab.com/groups/<GroupName>/-/releases.json，它应该显示该发行版的TAG名称。