PT-2025-27002 · Github · Octo-Sts

Vicevirus · Publicado 2025-06-26 · Atualizado 2025-08-04 · CVE-2025-52477

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas: Versões do Octo-STS anteriores à v0.5.3

Descrição: O Octo-STS é um GitHub App que atua como um Security Token Service (STS) para a API do GitHub. A vulnerabilidade permite a realização de Server-Side Request Forgery (SSRF) não autenticada, explorando campos em tokens OpenID Connect. Tokens maliciosos podem acionar solicitações de rede internas, o que pode refletir logs de erro contendo informações sensíveis.

Recomendações: Atualize para a versão v0.5.3 para resolver este problema, pois esta versão inclui correções para sanitizar entradas e ofuscar registros de log.

Exploit

Correção

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

CVE-2025-52477

GHSA-H3QP-HWVR-9XCQ

GO-2025-3779

OPENSUSE-SU-2025:15405-1

Produtos afetados

Octo-Sts

Referências · 69

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/52xxx/CVE-2025-52477.json · Exploit
• https://github.com/octo-sts/app/commit/0f177fde54f9318e33f0bba6abaea9463a7c3afd · Nota
• https://github.com/octo-sts/app/commit/b3976e39bd8c8c217c0670747d34a4499043da92 · Nota
• https://github.com/octo-sts/app/security/advisories/GHSA-h3qp-hwvr-9xcq · Nota
• https://github.com/octo-sts/app · Nota
• https://osv.dev/vulnerability/GHSA-h3qp-hwvr-9xcq · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2025-46702 · Nota
• https://suse.com/security/cve/CVE-2024-44906 · Nota
• https://suse.com/security/cve/CVE-2025-3227 · Nota
• https://suse.com/security/cve/CVE-2025-53633 · Nota
• https://suse.com/security/cve/CVE-2025-47943 · Nota
• https://suse.com/security/cve/CVE-2025-53634 · Nota
• https://suse.com/security/cve/CVE-2025-54059 · Nota
• https://suse.com/security/cve/CVE-2025-53547 · Nota
• https://suse.com/security/cve/CVE-2025-5981 · Nota