Una fuga di codice sorgente è il furto o il rilascio pubblico del codice di un'applicazione, come il contenuto di un repository, script di build, file di configurazione o cronologia Git. È importante perché il codice può esporre la logica di business, endpoint nascosti, controlli di sicurezza e talvolta segreti incorporati come chiavi API, token o stringhe di connessione al database. Anche senza credenziali, gli attaccanti possono studiare il codice per capire come funziona un'applicazione e dove si trovano i suoi punti deboli.
Negli attacchi reali, il codice rubato viene spesso usato per rafforzare richieste di estorsione, accelerare la scoperta di vulnerabilità o supportare intrusioni successive contro sistemi correlati. Può anche aiutare gli attaccanti a identificare formati di backup, flussi di autenticazione e punti di integrazione con servizi di terze parti. I difensori riducono il rischio proteggendo i repository sorgente con controlli di accesso rigorosi, scansione dei segreti, protezioni dei branch e backup crittografati. Se il codice viene esposto, i team dovrebbero presumere che i segreti possano essere compromessi, ruotare le credenziali, rivedere la cronologia dei commit e verificare la presenza di dati sensibili hard-coded.