GitLab API flaw