泄露的 n8n API 令牌使在线实例面临凭据窃取风险
GitGuardian 研究人员在公开的 GitHub 提交中发现 321 个 n8n 实例接受了暴露的 API 令牌，并在无需利用软件漏洞的情况下演示了攻击者利用这些令牌访问敏感数据和下游凭据的四种方式。
标签： GitHub
Read More
FakeGit 行动利用 7,600 个 GitHub 仓库传播 SmartLoader 恶意软件
安全研究人员在 GitHub 上发现约 7,600 个恶意仓库，其中超过 800 个伪装成 AI 技能或 Model Context Protocol（MCP）服务器，用于投递名为 SmartLoader 的恶意软件。该行动代号为 FakeGit，利用抄袭项目、高仿开发者资料、精心伪造的 README 以及恶意 ZIP 文件来引诱受害者，最终部署信息窃取程序 StealC。研究还揭示了一种名为 AgentBaiting 的 AI 驱动攻击演化，已影响 Anthropic Claude Code、Google Gemini 和 OpenAI ChatGPT。
GitLost:公共 GitHub Issue 可诱骗 GitHub 智能体工作流泄露私有仓库数据
Noma Security 的研究人员展示,公共 Issue 可诱骗 GitHub 智能体工作流(Agentic Workflows)泄露组织私有仓库的内容。攻击者只需在公共仓库上提交一个看似普通的 Issue,无需窃取凭据,无需访问目标组织。若该组织已授予智能体跨仓库(含私有仓库)的读取权限,Issue 便可诱导其将私有内容写入公共评论。
GitHub “已验证”提交可被改写为新哈希且不破坏签名
新研究显示,已签名 Git 提交的哈希并非软件行业所普遍认为的独一无二标识。无需签名密钥,攻击者即可基于同一文件、作者和日期生成新的提交,Github 仍会显示”已验证”。这意味着依赖哈希的封禁列表、去重机制、来源日志和可复现构建记录都存在被绕过的风险。
休眠 GitHub 账户帮助攻击者在映射企业组织时隐藏行踪
Datadog Security Labs 发出警告，称存在”多个重叠的攻击活动”，攻击者正通过 GitHub API 系统性地枚举企业的 GitHub 组织、仓库和用户账户。攻击者依赖自动化抓取工具，使用外观合法或自定义的 User-Agent，并利用数年前创建的”幽灵” GitHub 账户，或被泄露的 OAuth 令牌及个人访问令牌（PAT）来实施攻击。
OpenMandriva Linux 称贡献者试图破坏该项目
OpenMandriva Linux 项目宣布，在贡献者之间发生纠纷后，该项目成为了一起内部破坏未遂行为的目标，破坏行为包括清空 GitHub 仓库以及推送可能损害用户系统的空软件包。
npm 12 默认禁用安装脚本以降低供应链风险
GitHub 正式发布 npm 12 版本，默认禁用安装脚本，并弃用旨在绕过双因素认证（2FA）的细粒度访问令牌（GATs）。此举旨在减少供应链攻击面，并引导开发者迁移至可信发布（OIDC）或带人工审批的分阶段发布模式。