saboor-hakimi-23/cve-2025-65964Démo CTF pédagogique illustrant l'exécution de commandes via les hooks Git en abusant de core.hooksPath dans les flux d'automatisation. Met en évidence l'exécution locale de hooks et les hooks contenus dans le dépôt.
⚠️ Ce dépôt est destiné uniquement à des fins éducatives et de démonstration CTF.
Une plateforme d'automatisation (par exemple, n8n) utilise des opérations Git dans le cadre d'un workflow. Le workflow permet une configuration Git arbitraire via git config.
Un workflow contrôlé par un attaquant définit :
core.hooksPath=hooks/
Git exécutera alors les hooks depuis le répertoire du dépôt.
Démontrer que :
core.hooksPath peut conduire à l'exécution de commandesAucune commande nuisible n'est incluse.