CVE-2025-10281
ŚrednieCVSS 4.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Moduł git_clone w BBOT może zostać wykorzystany do ujawnienia klucza API GitHub na serwer kontrolowany przez atakującego za pomocą złośliwie sformatowanego adresu URL Git.
Ocena ryzyka
Atakujący może uzyskać klucz API GitHub, co może prowadzić do nieautoryzowanego dostępu do repozytoriów i innych zasobów GitHub.
Rekomendacja
Zaktualizuj BBOT do wersji zawierającej poprawkę. Unikaj używania modułu git_clone z niezaufanymi adresami URL i regularnie rotuj klucze API.
Inne podatności w BBOT
Zobacz wszystkie- CVE-2026-14967Niskie
Moduł `github_workflows` w BBOT może zostać wykorzystany do zapisania pobranego artefaktu poza skonfigurowanym katalogiem wyjściowym. Sprawdzanie ścieżki nie rozpoznaje sekwencji `..`, więc spreparowany URL `CODE_REPOSITORY` może wyjść poza zamierzony folder.
- CVE-2026-14966Niskie
Podatność w module unarchive narzędzia BBOT polega na tym, że dla archiwów zip i 7z nie wykrywa on dowiązań symbolicznych, których lista zawiera prefiks DOS-attribute przed trybem uniksowym, co jest charakterystyczne dla starszych wersji p7zip. W rezultacie archiwum pobrane i rozpakowane podczas skanowania (np. przez filedownload) omija zabezpieczenie i pozwala na zapisanie dowiązania symbolicznego kontrolowanego przez atakującego w katalogu docelowym.
- CVE-2025-10282Średnie
Moduł gitlab w BBOT może zostać wykorzystany do ujawnienia klucza API GitLab na serwer kontrolowany przez atakującego za pomocą złośliwie sformatowanego adresu URL Git.
Oryginalny opis (angielski, źródło NVD)
BBOT's git_clone module could be abused to disclose a GitHub API key to an attacker controlled server with a malicious formatted git URL.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS