GIT отримує доступ до облікових даних для входу, які зберігаються у системних помічниках. Він використовує текстовий протокол, який працює над звичайним входом та виводом, використовуючи рядки, записані як пари ключової вартості.
І GIT, а також помічник з довіри тлумачення цих повідомлень, які описані персонажами Newline, і деякі гарантії реалізуються для запобігання введення майна.
Ріотак виявив вразливість у функції Github Desktop, яка автоматично пропонує облікові дані клієнту GIT. Цей недолік дозволяє зловмисне сховище зі спеціально створеною URL -адресою для вивчення облікових даних користувачів.
Ця вразливість була ідентифікована як CVE-2025-23040, і це проблема у помилці контрабанди, що повертає перевезення. Він виникає з невідповідностей у тому, як обробляються розмежування ліній у протоколі облікових даних GIT порівняно з регулярними специфікаціями експресії в ECMAScript.
Через цю невідповідність, коли зловмисна URL -адреса обробляється, робочий стіл Git та Github по -різному інтерпретує господар. Це змушує останнє випадково розкрити інформацію про вхід облікового запису Github замість передбачуваного клієнта.
Дослідник безпеки, який назвав експлуатацію, Clone2Leak також знайшов пов’язану проблему безпеки у менеджера облікових даних GIT. Це перехресний помічник довіри для GIT, який відстежується як CVE-2014-50338.
Як зазначає Ріотак, обидві вразливості походять з поводження з довічним помічником від персонажа повернення каретки.
Однак git фактично зіткнувся з новими ін’єкціями, однак, Git LFS, що є розширенням, призначеним для управління великими файлами, працює як дитячий процес GIT та використовує функцію. Ця функція дозволяє персонажам Newline, що потенційно дозволяє зловмисникам уникати захисту GIT. Ця вразливість записується як CVE-2014-53263.
Github пояснює: «Під час використання помічника довіри, Git використовує протокол на основі лінії для передачі інформації між собою та помічником довіри. Спеціально виготовлена URL-адреса, що містить повернення каретки, може бути використана для введення ненавмисних значень у потік протоколу, внаслідок чого помічник витягує пароль для одного сервера під час надсилання його в інший ».