组织外部人员竟可删除私有仓库，GitHub 权限漏洞引恐慌
pramodk73 · x · 2026-10-28
开发者 Ayush Agarwal 报告了一起诡异的安全事件：一名不属于其 GitHub 组织的外部人员，在没有成员身份、邀请或角色授权的情况下，用 gh CLI 执行了一条 repo.destroy 就删除了他们的一个私有仓库。
更糟糕的是：
- 组织和企业的审计日志中均未显示该外部人员获得过任何访问权限
- 该仓库没有出现在「已删除仓库」列表中，因此无法恢复
他公开质问 GitHub 这如何可能发生，转发者直呼「以为提交代码时是安全的，太可怕了」。这暴露出 GitHub 权限与审计体系可能存在严重盲区，对所有依赖私有仓库的团队都是警示。
所属事件:GitHub 权限漏洞曝光：组织外部人员可删除私有仓库(2 条相关)→
「安全」频道最新
- Socket 重提 mini shai-hulud 轶事：没发 latest 版本仍被版本范围命中 — banteg · 2026-10-28
- CA 机构 eMudhra 中间证书私钥疑遭泄露，Mozilla 立 P1 缺陷调查 — kingslyj · 2026-10-28
- 研究者探讨 AI 经济冲击或推高全球网络犯罪，指向 WEIS 论文 — joshua_saxe · 2026-10-28
- CoDA 框架在扩散 LLM 解码内执行安全策略,自适应注入成功率降至 0% — nandofioretto · 2026-10-28
- 政策研究者 Janet Egan 加入 IFP 出任新兴技术总监 — RishiBommasani · 2026-10-28
- HEIF Heist 漏洞链：可导出 OpenAI 私有仓库、触发 Meta 全线 RCE — Miles_Brundage · 2026-10-28