Github プルリクの添付画像はprivateでも認証なしで誰でも参照可能です

テクノロジーカテゴリーの変更を依頼記事元:

ksakae1216.com

39 usersがブックマークコメント

7

現在プライベートモードです設定を変更する

39 users ksakae1216.com

現在プライベートモードです設定を変更する

みんなの興味と感想が集まることで新しい発見や、深堀りがもっと楽しくアカウントをお持ちの方はログインページへ

記事へのコメント7件

●注目コメント ●新着コメント

y-kawaz 十分に推測不可能な非公開なURLだし特に問題とは思えない。httpsなので生パケットから漏れる事もないし。 2023/01/14 リンクその他 ● ● ●

kazkaz03 画像だけ置くprivateリポジトリ用意してリンクさせることで対応してる。めんどくさい。 2023/01/14 リンクその他 ● ● ●

strawberryhunter 内部犯行が無ければ安全だとみなしているケースだけど、内部犯がURLを漏洩するか、画像そのものを漏洩するかの違いなので、やはり確率的に安全ということで判断して良いのではないかと思う。 ●未分類 2023/01/14 リンクその他 ● ● ●

ikeike443 たぶん十年以上ずっとこの仕様ですよ 2023/01/19 リンクその他 ● ● ●

delphinus35 知らなかった。けどまあ、大して問題無い気はするな。推測不能な URL なので内部から漏洩するしか考えられないし。本当にヤバい、NDA 結ぶような案件なら GitHub Enterprise か、別に Confluence / JIRA でやり取りするだろう。 2023/01/15 リンクその他 ● ● ●

yfukuda827 知らなかったぜ ●github ●セキュリティ 2023/01/14 リンクその他 ● ● ●

kazkaz03 画像だけ置くprivateリポジトリ用意してリンクさせることで対応してる。めんどくさい。 2023/01/14 リンクその他 ● ● ●

strawberryhunter 内部犯行が無ければ安全だとみなしているケースだけど、内部犯がURLを漏洩するか、画像そのものを漏洩するかの違いなので、やはり確率的に安全ということで判断して良いのではないかと思う。 ●未分類 2023/01/14 リンクその他 ● ● ●

tattyu 結構前から問題になってたと思ったけど、これ死ぬ程不便でまずいよなぁ。適当なURL入れてクロールしたらヤバい画像とか出てきそう。 2023/01/14 リンクその他 ● ● ●

y-kawaz 十分に推測不可能な非公開なURLだし特に問題とは思えない。httpsなので生パケットから漏れる事もないし。 2023/01/14 リンクその他 ● ● ● 注目コメント算出アルゴリズムの一部にLINEヤフー株式会社の﹁建設的コメント順位付けモデルAPI﹂を使用しています

リンクを埋め込む

以下のコードをコピーしてサイトに埋め込むことができます

<iframe marginwidth="0" marginheight="0" src="https://b.hatena.ne.jp/entry.parts?url=https%3A%2F%2Fksakae1216.com%2Fentry%2F2022%2F01%2F17%2F073000" scrolling="no" frameborder="0" height="230" width="500"><div class="hatena-bookmark-detail-info"><a href="https://akarinohon.com/text/taketori.cgi/https://ksakae1216.com/entry/2022/01/17/073000">Github プルリクの添付画像はprivateでも認証なしで誰でも参照可能です</a><a href="https://akarinohon.com/text/taketori.cgi/https://b.hatena.ne.jp/entry/s/ksakae1216.com/entry/2022/01/17/073000">はてなブックマーク - Github プルリクの添付画像はprivateでも認証なしで誰でも参照可能です</a></div></iframe>

プレビュー

はてなブックマークボタンを作成して埋め込むこともできます

規約違反を報告

いまの話題をアプリでチェック！ ●バナー広告なし ●ミュート機能あり ●ダークモード搭載アプリをダウンロード

usersに達しました！

さんが1番目にブックマークした記事﹁Github プルリクの...﹂が注目されています。気持ちをシェアしよう以前の現場でタイトルの事象があった。プルリク︵プルリクエスト︶に修正前後の添付画像を貼ってたんだが、プライベートリポジトリでもURLを知ってれば誰でも参照可能。ちょっと、ビックリしますよね！！違う現場で、プルリクに画像貼ってて、この事象を共有したのでブログにも書く。︵忘れないために︶ Githubのドキュメントにも書いてあるちゃんとGithubのドキュメントにも書いてあった。しかもWarningで。 Attaching files – GitHub Docs Warning: If you add an image or video to a pull request or issue comment, anyone can view the anonymized URL without authentication, even if the pull request is i ●github ●セキュリティ ●画像 ●security ●URL ●未分類 ●あとで読む