Уязвимости и особенности истории Git

Уровень 0 · материалов: 2

В кластер входят документы об уязвимостях, связанных с невозможностью полного удаления данных из истории Git или его форков, и не входят документы о технических особенностях отображения логов при слиянии веток.

Общие признаки: система контроля версий Git, хранение данных в истории коммитов, удаление чувствительной информации, восстановление скрытых или удаленных данных

Группа выше: Git: устройство и модель данных

Материалы

• #12198 — Earning $64,000 by Recovering Deleted Git Secrets — Представитель этого кластера

  Призраки в коммитах: как я заработал $64 000 на удаленных файлах в Git — breakmirrors

  Смысл: The main idea is that simply deleting a sensitive file from a Git repository does not remove it from the repository's history, allowing researchers to recover 'ghost' files and extract active API keys or tokens for bug bounty rewards.

  A security researcher earned $64,000 by building a system to recover deleted files and 'dangling' objects from public GitHub repositories to find active leaked secrets.

• #14789 — GitHub Data Exposure via Cross Fork Object Reference

  Любой может получить доступ к удалённым и приватным данным репозиториев GitHub — ru_vds

  Смысл: The main idea is that GitHub's internal architecture preserves commit data across a network of forks, meaning that deleting a repository or fork does not actually erase the data. This creates a vulnerability (CFOR) where sensitive information can be retrieved by anyone who can find or guess the commit hash.

  Data in deleted or private GitHub repositories can remain permanently accessible through forks if the commit hash is known, making secret rotation the only reliable security measure.