CVE-2025-24890

gitoxide, Rust dilində yazılmış git tətbiqidir. 0.13.3 versiyasından əvvəl, Windows platformasında gix-sec crate-i, administrator filtrlənməmiş yüksəldilmiş tokenlə asılı proqramı işə saldıqda, digər istifadəçi tərəfindən idarə olunan repozitoriyalara yanlış şəkildə etibarlı kimi yanaşır. gix-sec/src/identity.rs faylında, gix_sec::identity::is_path_owned_by_current_user funksiyası folder_owner və token_owner məlumatlarını əldə edir, lakin onun administratora xas IsWellKnownSid və CheckTokenMembership yoxlamaları kataloq sahibini təsdiqləmək əvəzinə, işləyən tokeni yoxlayır. Bu, məhdud istifadəçi tərəfindən sahiblik edilən və konfiqurasiya olunan repozitoriyalar üçün safe.directory tipli qorumanı yan keçərək, təsirlənən əməliyyat yerinə yetirilərkən repozitoriya konfiqurasiyasının və ya hook-ların əmrləri administrator imtiyazları ilə icra etməsinə şərait yaradır. İstismar üçün Windows, yüksəldilmiş administrator hüquqları, gix-sec etibar nəticələrinə əsaslanan proqram və digər istifadəçi tərəfindən idarə olunan repozitoriya ilə qarşılıqlı əlaqə tələb olunur. Yüksəldilməmiş UAC prosesi buna təsir etmir, həmçinin klonlama prosesi də təsirlənmir, çünki repozitoriya konfiqurasiyası və hook-lar kopyalanmır. Bu problem 0.13.3 versiyasında düzəldilib.