无任何权限的账号竟删掉 Dodo Payments 私有仓库
kingslyj · x · 2026-10-28
支付公司 Dodo Payments 联合创始人 Ayush Agarwal 披露安全怪事：一个对该公司 GitHub 组织无成员身份、无邀请、无任何角色的外部用户，删除了其一个私有仓库。
审计日志显示仅有一条来自 GitHub CLI 的 repo.destroy 操作（来自美国 IP，使用 PAT 访问令牌）。更糟的是该仓库未出现在 deleted repositories 列表中，无法恢复。Agarwal 公开 @GitHub 质疑这怎么可能发生，事件暴露了 GitHub 权限模型或审计机制的潜在漏洞。
所属事件:GitHub 权限漏洞曝光：组织外部人员可删除私有仓库(2 条相关)→
「安全」频道最新
- AI 网络安全「灾难论」被指夸大:实际损害远小于噪音 — timigod · 2026-10-28
- OpenAI 将办研讨会:揭秘 php2shell 漏洞披露与 AI 时代漏洞挖掘 — gdb · 2026-10-28
- Rust 与 Verus 或助 AI 漏洞挖掘聚焦搜索空间 — jd_pressman · 2026-10-28
- Anthropic 回应 Slack 泄密传闻:细节有误但承认需每年重构安全体系 — logangraham · 2026-10-28
- jackson-databind 爆 CVSS 9.8 漏洞，旧修复被绕过可任意实例化类 — Kyrannio · 2026-10-28
- AI 逆向工程让发布二进制不再安全,Archil 创始人称或被迫全面开源 — RexDouglass · 2026-10-28