PT-2025-4786 · Github · Github Desktop

Niik · Publicado 2025-01-15 · Atualizado 2025-01-29 · CVE-2025-23040

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.6

Média

Vetor base

AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas Versões do GitHub Desktop anteriores à 3.4.12

Descrição Um atacante pode acessar as credenciais de um usuário ao convencê-lo a clonar um repositório diretamente ou por meio de um submódulo, utilizando uma URL remota criada maliciosamente. O GitHub Desktop depende do Git para operações de rede e utiliza o protocolo git-credential para solicitar credenciais para hosts remotos. Uma URL maliciosa pode fazer com que o GitHub Desktop interprete incorretamente a solicitação de credencial, enviando credenciais de um host diferente, o que permite a exfiltração de segredos. Isso poderia transmitir indevidamente o nome de usuário do GitHub e o token OAuth, ou credenciais de outros hosts remotos do Git armazenados no GitHub Desktop, para um host não relacionado.

Recomendações Atualize para o GitHub Desktop 3.4.12 ou superior para corrigir a vulnerabilidade. Como medida de precaução, os usuários que suspeitam que podem ser afetados devem revogar quaisquer credenciais relevantes.

Exploit

Correção

Insufficiently Protected Credentials

Enumeração de Fraquezas

CWE-522

Identificadores relacionados

CVE-2025-23040

GHSA-36MM-RH9Q-CPQQ

Produtos afetados

Github Desktop

Referências · 14

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/23xxx/CVE-2025-23040.json · Exploit
• https://github.com/desktop/desktop/security/advisories/GHSA-36mm-rh9q-cpqq · Nota
• https://twitter.com/VulmonFeeds/status/1879748769081688089 · Publicação no Twitter
• https://twitter.com/TweetThreatNews/status/1883869464472535327 · Publicação no Twitter
• https://git-scm.com/docs/git-credential · Nota
• https://osv.dev/vulnerability/CVE-2025-23040 · Aviso do Fabricante
• https://docs.github.com/en/apps/using-github-apps/reviewing-and-revoking-authorization-of-github-apps · Nota
• https://twitter.com/Eth1calHackrZ/status/1884598622605734175 · Publicação no Twitter
• https://t.me/cvedetector/15510 · Publicação no Telegram
• https://twitter.com/securityRSS/status/1884279462377693600 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2025-23040 · Nota de Segurança
• https://twitter.com/fletch_ai/status/1884149550946156906 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1879657483519586542 · Publicação no Twitter
• https://twitter.com/autumn_good_35/status/1883870084000879099 · Publicação no Twitter