gitlab漏洞系列-项目中的Guest用户越权看到TEST用例

• 背景

• 复现步骤

声明：文章中涉及的程序(方法)可能带有攻击性，仅供安全研究与教学之用，读者将其信息做其他用途，由用户承担全部法律及连带责任，文章作者不承担任何法律及连带责任。

背景

ashish_r_padelkar于2020年11月提交了这个漏洞: 

私人项目中的guest用户可以在https://gitlab.com/<NameSpace>/<ProjectName>/-/quality/test_cases上看到Test Cases，即使在/-/settings/ci_cd#js-general-pipeline-settings的公共管道被禁用的情况下也是如此。当禁用公共管道时，guest用户不应该看到这个信息，因为guest在项目中看不到CI/CD菜单，而这个选项可以查看测试用例。

复现步骤

1.创建一个私有项目，并在/-/quality/test_cases处创建一个测试用例。

2.在/-/settings/ci_cd#js-general-pipeline-settings禁用项目的公共管道。

3.以访客(guest)身份登录这个私人项目，你将无法看到这个CI/CD菜单选项。

4.直接导航到https://gitlab.com/<NameSpace>/<ProjectName>/-/quality/test_cases，您应该能够访问列出测试用例的页面。