Любой пользователь GitHub может нарисовать себе «граффити» на своем графе активности. А еще он может сделать это на графе другого пользователя. Для этого должны быть выполнены три условия:

1. Пользователь, чей граф будет раскрашен, должен открыть issue или сделать push кода в репозиторий, в который у другого пользователя (назовем его «редиска») также есть возможность сделать push или принять pull request. 2. Этот репозиторий не должен быть форком. 3. Редиска должен знать email, который пользователь использовал при регистрации.

Эта уязвимость возникает из-за некорректной проверки email, который указан в git-коммите, и email пользователя. Если два email совпадают, то GitHub отображает коммит на графике активности.

Эту проблему уже используют не только редиски, но и исследователи, которые рисуют граффити в аккаунтах злодеев.