saboor-hakimi-23/cve-2025-65964Demo educativa CTF che dimostra l'esecuzione di comandi tramite Git hooks abusando di core.hooksPath nei flussi di lavoro di automazione. Evidenzia l'esecuzione di hook locali e hook contenuti nel repository.
⚠️ Questo repository è solo per scopi educativi e di dimostrazione CTF.
Una piattaforma di automazione (ad es., n8n) utilizza operazioni Git come parte di un flusso di lavoro.
Il flusso di lavoro consente configurazioni Git arbitrarie tramite git config.
Un flusso di lavoro controllato da un attaccante imposta:
core.hooksPath=hooks/
Git eseguirà quindi gli hook dalla directory del repository.
Dimostrare che:
core.hooksPath può portare all'esecuzione di comandiNon sono inclusi comandi dannosi.