깃허브에서 삭제되거나 비공개 된 레포지터리의 데이터에 접근할 수 있다

CFOR 취약점 (Cross Fork Object Reference)

한 저장소 포크가 다른 포크의 중요한 데이터에 액세스 할 수 있음

이는 깃허브에서도 알고 있는 취약점이지만 의도적으로 설계된 방식이기 때문에 조치되지 않음

 

 

 

삭제된 포크 데이터 액세스 하기 & 삭제된 저장소 데이터에 액세스하기

1. 공용 레포지터리를 포크하고 포크 레포지터리에 커밋 후 포크를 삭제한다

2. 포크에 커밋한 코드는 커밋 해시를 통해 영구적으로 접근이 가능하다

3. 이때 공용 레포지터리를 삭제하면 기존에 해당 레포지터리가 가지던 루트 노드 역할을 다운스트림인 포크 레포지터리가 수행하게 되며, 기존 업스트림의 커밋은 여전히 존재하면서 모든 포크를 통해 액세스 할 수 있다

 

 

 

 

 

 

 

 

Reference

GitHub에서 삭제되거나 비공개 Repo 데이터에 누구나 액세스할 수 있음 | GeekNews