Git仓库发现 | 报告 #2915426

时间线
ID验证黑客（已完成ID验证检查）tefa_ 向curl提交报告
2024年12月27日下午3:10 UTC

菜单
摘要：
团队您好，
在研究过程中，我发现某个域名存在可下载Git仓库的漏洞，我将详细说明。

复现步骤：

影响
摘要：
暴露/.git目录可能导致未经授权访问敏感信息，例如源代码、配置文件以及存储库中可能存在的密钥或凭据。

ID验证黑客tefa_ 发表评论
2024年12月27日下午3:11 UTC
菜单
为展示该域名，请访问此URL：https://curl.se/libcurl/

bagder（curl工作人员）关闭报告并将状态更改为"不适用"
2024年12月27日下午3:28 UTC
菜单
这些不是机密信息。该网站不在赏金计划范围内。

ID验证黑客tefa_ 发表评论
2024年12月27日下午3:30 UTC
菜单
您说得对，但我发现该网站位于主域名下，应该移除。

jimfuller2024（curl工作人员）发表评论
2024年12月27日下午3:54 UTC
菜单
尽管已明确告知这不是机密信息，我们是否遗漏了什么？您为什么认为应该移除？

ID验证黑客tefa_ 发表评论
2024年12月27日下午3:57 UTC
菜单
因为我在主网站上发现了该域名，且包含域名（curl），当任何人访问该域名时都可以下载Git仓库。您有两个修复方案：

jimfuller2024（curl工作人员）发表评论
2024年12月27日下午4:06 UTC
菜单
不太明白…
https://github.com/curl/curl.dev
是公开可用的
我想如果我们篡改了.git/config可能会成为问题…但没看到问题所在

bagder（curl工作人员）请求披露此报告
10天前
菜单
根据项目的透明政策，我们希望所有报告都被披露并公开。

bagder（curl工作人员）披露此报告
9天前

报告详情
报告时间：2024年12月27日下午3:10 UTC
报告者：tefa_
报告对象：curl
参与者：
报告ID：#2915426
严重性：高（7 ~ 8.9）
披露时间：2025年7月7日上午10:16 UTC
弱点：信息泄露
CVE ID：无
赏金：隐藏
账户详情：无

发现Git仓库泄露漏洞：curl.dev网站安全风险分析