Рассказали мне тут волшебную историю годичной давности про гитлаб и как заработать 35к долларов на чужой глупости. Собственно вся история в том, что исследователь заметил уморительную штуку: если в запрос на смену пароля приписать свой емейл, услужливый гитхаб отправит ссылку на форму для сброса и владельцу аккаунта, и тебе. Он мальчик не жадный, ему не сложно лишнее письмо пульнуть. То есть, переводим на простой: чтобы угнать чужой аккаунт достаточно было знать почту владельца. GL в первый момент выдали тысячу денег, но потом признали что критикала 10 из 10 и выдали полноценные 35к.

Так что, юзернейм, когда тебе на почту начинают валом идти письма о попытке сброса пароля, это ж-ж-ж-ж неспроста. https://hackerone.com/reports/2293343