关键信息 问题标题: Ability to access a previously accessible issue 漏洞细节: - 用户不能链接到他无法访问的问题，但用户可以删除他之前创建的问题链接。 - 删除问题链接时，与该问题相关的所有信息也会返回。 - 如果问题链接是由用户创建的，且问题的可见性级别被更改，用户仍然可以通过删除问题链接来获取无法访问的信息。 重现步骤: 1. 作为受害者，创建一个公开项目并创建一个问题。 2. 作为攻击者，需要有一个漏洞报告（如果有，跳到第4步）。 3. 作为攻击者，创建一个项目，然后转到Security & Compliance -> Configuration -> Enable (SAST) -> 上传具有特定代码的PHP文件 -> 等待管道通过 -> 转到漏洞报告。 4. 转到漏洞报告 -> 链接到在Sept 1创建的问题（粘贴问题链接）。 5. 拦截请求 -> 移除你将拦截的请求，且不要转发否则将被移除。 6. 作为受害者，将项目可见性更改为私有，并对在第1步创建的问题的标题和描述进行一些更改。 状态: Complete 标签: - HackerOne, Weakness, CWE-200, [deprecated], Accepting merge requests, backend, bug, vulnerability, devops, plan, group, project management, priority 4, section, dev, security, security-backlog, review-complete, severity 4, type, bug, workflow, in review