CVE-2025-46820: phpgt/Dom expose le GITHUB_TOKEN dans l'artefact d'exécution du workflow Dom | Kitploit

CVE-2025-46820

ÉlevéPublié

phpgt/Dom expose le GITHUB_TOKEN dans l'artefact d'exécution du workflow Dom

Publié: 6 mai 2025
Mise à jour: 6 mai 2025
Attribution de CNA: GitHub_M
Preuve observée: 28 août 2026

CVSS primaire

7,1/ 10Élevé

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:H/A:H

Estimation de probabilité EPSS

0,2 %

Faible · 30 prochains jours

Percentile: 8,5 %
Date du modèle: 21 sept. 2026

EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.

Résumé

phpgt/Dom fournit un accès aux API DOM modernes. Les versions de phpgt/Dom antérieures à 4.1.8 exposent le GITHUB_TOKEN dans l'artefact d'exécution du workflow Dom. Le fichier de workflow ci.yml utilise actions/upload-artifact@v4 pour téléverser l'artefact de compilation. Cet artefact est une archive zip du répertoire courant, qui inclut le fichier .git/config généré automatiquement contenant le GITHUB_TOKEN de l'exécution. Étant donné que l'artefact peut être téléchargé avant la fin du workflow, il existe une fenêtre de quelques secondes pendant laquelle un attaquant peut extraire le jeton de l'artefact et l'utiliser avec l'API GitHub pour pousser du code malveillant ou réécrire les commits de publication dans votre dépôt. Tout utilisateur en aval du dépôt peut être affecté, mais le jeton ne devrait être valide que pendant la durée de l'exécution du workflow, limitant ainsi la période pendant laquelle l'exploitation pourrait avoir lieu. La version 4.1.8 corrige ce problème.

Sources

gha-lab-fb6df3d456Recherche
# Laboratoire de recherche en sécurité autorisé reproduisant CVE-2025-46820 (GHSA-cwj7-6v67-2cm4) : GITHUB_TOKEN persisté dans des artefacts CI téléchargeables publiquement dans phpgt/Dom. Instantané de phpgt/Dom @ b73d7e8.

Utilisation responsable

Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.