CVE-2025-23040

GitHub Desktop, git tərtibatı üçün nəzərdə tutulmuş açıq mənbəli Electron əsaslı GitHub tətbiqidir. Hücumçu istifadəçini bir repozitoriyanı birbaşa və ya altmodul vasitəsilə klonlamağa razı etdikdə, zərərli şəkildə hazırlanmış uzaq URL-dən istifadə edərək istifadəçinin etibarnamələrinə giriş əldə edə bilər. GitHub Desktop bütün şəbəkə ilə bağlı əməliyyatları (klonlama, götürmə və göndərmə kimi) yerinə yetirmək üçün Git-dən istifadə edir. İstifadəçi repozitoriyanı klonlamağa çalışdıqda, GitHub Desktop `git clone` əmrini çağırır və Git autentifikasiya tələb edən uzaq serverlə qarşılaşdıqda, git-credential protokolu vasitəsilə həmin uzaq host üçün etibarnamələri GitHub Desktop-dan tələb edir. Zərərli şəkildə hazırlanmış URL-dən istifadə edərək, Git-dən gələn etibarnamə sorğusunun GitHub Desktop tərəfindən yanlış şərh edilməsinə səbəb olmaq mümkündür; beləliklə, tətbiq etibarnamələri Git-in hazırda ünsiyyətdə olduğu hostdan fərqli bir hosta göndərir və bu da gizli məlumatların sızdırılmasına imkan verir. GitHub istifadəçi adı və OAuth tokeni və ya GitHub Desktop-da saxlanılan digər Git uzaq hostlarının etibarnamələri əlaqəsiz bir hosta düzgün olmayan şəkildə ötürülə bilər. İstifadəçilər bu boşluğu aradan qaldıran GitHub Desktop 3.4.12 və ya daha yeni versiyaya yeniləməlidir. Təsirə məruz qaldığını şübhələndirən istifadəçilər müvafiq etibarnamələri ləğv etməlidir.