В «библиотеке» программистов — GitHub — нашли уязвимость

Исследователь безопасности Джо Леон назвал эту проблему «Cross Fork Object Reference» (CFOR). CFOR возникает, когда данные из одного форка остаются доступными через другой форк, даже если оригинальный удален.

Truffle Security продемонстрировала это, создав форк хранилища, зафиксировав в нем конфиденциальные данные, удалив форк, а затем получив доступ к якобы удаленным данным через оригинальное хранилище. Далее была продемонстрирована демонстрация того, как несинхронизированные данные из форка могут быть доступны после удаления оригинального хранилища.

GitHub, однако, рассматривает эту ситуацию как особенность, а не ошибку, заявляя, что это задокументированное поведение, присущее сетям форков. Truffle Security утверждает, что GitHub следует пересмотреть свою позицию.