CVE-2025-32958
Adept expuso el GITHUB_TOKEN en el artefacto de ejecución del flujo de trabajo
- Publicado
- 21 abr 2025
- Actualizado
- 22 abr 2025
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 3 sept 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 45,9 %
- Fecha del modelo
- 21 sept 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Adept es un lenguaje de programación de propósito general. Antes del commit a1a41b7, el archivo de flujo de trabajo remoteBuild.yml usaba actions/upload-artifact@v4 para cargar el artefacto independiente para Mac. Este artefacto es un archivo zip del directorio actual, que incluye el archivo .git/config generado automáticamente con el GITHUB_TOKEN de la ejecución. Dado que el artefacto se puede descargar antes de finalizar el flujo de trabajo, un atacante puede extraer el token del artefacto durante unos segundos y usarlo con la API de Github para enviar código malicioso o reescribir las confirmaciones de versiones en el repositorio AdeptLanguage/Adept. Este problema se ha corregido en el commit a1a41b7.
Fuentes
1- gha-lab-b1fe4918c0Investigación
# Laboratorio autorizado de investigación en seguridad: reproducción de CVE-2025-32958 (GHSA-8c7v-vccv-cx4q) — GITHUB_TOKEN filtrado en artefactos de workflow por remoteBuild.yml de Adept (instantánea de AdeptLanguage/Adept @ 6a64554)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.