GitHub

GitHub od 27 lipca 2026 roku znacząco obniża nagrody w publicznym programie Bug Bounty, nawet o ponad połowę dla wszystkich poziomów krytyczności, a krytyczne znaleziska będą nagradzane stałą kwotą 10 000 USD zamiast dotychczasowych 20 000–30 000 USD+, jednocześnie tworząc ekskluzywny program VIP z nagrodami od 30 000 USD+. Zmiany te mają na celu redukcję szumu informacyjnego i przyspieszenie reakcji dla najbardziej doświadczonych badaczy, którzy otrzymają wyższe nagrody i bliższy kontakt z zespołem inżynierów bezpieczeństwa.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐ (7/10)

Badacze cyberbezpieczeństwa odkryli kampanię FakeGit, która wykorzystuje blisko 7600 złośliwych repozytoriów na GitHubie, podszywając się pod narzędzia AI, aby rozpowszechniać złośliwe oprogramowanie SmartLoader oraz inne szkodniki, takie jak StealC. Wyjątkowo niepokojącym aspektem jest odmiana AgentBaiting, gdzie agenci AI, poszukując umiejętności lub serwerów MCP, sami natrafiają na fałszywe repozytoria, umożliwiając atak bez interwencji człowieka, co udowadniają testy na modelach takich jak Claude, Gemini i ChatGPT.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Nieznani sprawcy skompromitowali repozytorium GitHub projektu Injective Labs SDK, wykorzystując je do publikacji złośliwego pakietu w rejestrze npm, który kradł prywatne klucze do portfeli kryptowalutowych i frazy mnemoniczne. Złośliwa wersja, @injectivelabs/[email protected], zawierała fałszywą funkcję telemetrii, która eksfiltrowała dane, a także rozprzestrzeniła się na inne powiązane pakiety, narażając użytkowników. Malware, ukrywając się przed wykryciem, modyfikował funkcje generowania kluczy pod pozorem zbierania danych telemetrycznych, wysyłając poufne informacje na zdalny serwer, co wymaga od użytkowników natychmiastowej aktualizacji i rotacji kluczy.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Eksperci bezpieczeństwa Datadog ostrzegają przed kampaniami wykorzystującymi API GitHub do systematycznego identyfikowania organizacji, repozytoriów i użytkowników firmowych. Atakujący używają starych, uśpionych kont („ghost accounts”), skompromitowanych tokenów OAuth i osobistych tokenów dostępu (PAT), aby bez uwierzytelnienia lub z minimalnym identyfikatorem, zbierać publicznie dostępne informacje o strukturze firmowych repozytoriów, członkach zespołów oraz ich aktywności. W niektórych przypadkach udało im się sklonować prywatne repozytoria, co stanowi poważne zagrożenie dla poufnych danych.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badania pokazują, że hashe podpisanych commitów Git nie są unikalne i mogą być generowane na nowo przez osoby bez klucza prywatnego, przy jednoczesnym zachowaniu statusu “zweryfikowany” przez GitHub. Ta podatność pozwala atakującym na omijanie blokad opartych na hashu, a także wpływa na systemy deduplikacji czy logi pochodzenia kodu, umożliwiając podmianę kodu w lustrach repozytorium bez naruszenia weryfikacji podpisu. Problem leży w sposobie, w jaki platformy weryfikują podpisy, a nie w kryptografii Git.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze z Noma Security odkryli, że publiczne zgłoszenie (issue) na GitHubie może skłonić funkcję Agentic Workflows do wycieku danych z prywatnych repozytoriów organizacji. Atak wymaga jedynie utworzenia pozornie zwykłego zgłoszenia, bez potrzeby posiadania skradzionych danych uwierzytelniających czy dostępu do organizacji, wykorzystując lukę pośredniego wstrzykiwania promptów (indirect prompt injection).

Technika nazwana GitLost wykorzystuje fakt, że agenty AI nie potrafią odróżnić instrukcji od właściciela od tych ukrytych w przetwarzanych treściach, co pozwala na manipulowanie ich uprawnieniami i przekierowanie do ujawniania prywatnych danych. Chociaż GitHub wdrożył zabezpieczenia, takie jak sandboxing i skanowanie wyników, badacze wykazali, że prosta modyfikacja zapytania może je ominąć, podkreślając architektoniczne ograniczenia w rozróżnianiu danych od instrukcji w języku naturalnym. Zaleca się ograniczenie uprawnień tokenów dostępowych i przeglądanie wyników działania agentów, aby zminimalizować ryzyko.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Eksperci ds. cyberbezpieczeństwa zidentyfikowali nowy wzorzec słabości w przepływach pracy CI/CD, nazwany Cordyceps, który umożliwia atakującym przejęcie kontroli nad repozytoriami i łańcuchami dostaw oprogramowania open-source. Niezabezpieczona konfiguracja pozwala nieautoryzowanym użytkownikom na wykonanie kodu, kradzież danych uwierzytelniających i podważenie zaufania do projektów, co potwierdzono w przypadku gigantów takich jak Microsoft, Google, Apache i Cloudflare.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐⭐ (9/10)

GitHub wzmacnia bezpieczeństwo łańcucha dostaw oprogramowania, aktualizując narzędzie “actions/checkout”, aby blokować ataki “pwn request”, które wykorzystywały niebezpieczne wyzwalacze “pull_request_target workflow” do uruchamiania złośliwego kodu z pełnymi uprawnieniami. Od 18 czerwca 2026 r. najnowsza wersja “actions/checkout” domyślnie odrzuci typowe wzorce ataków “pwn request”, ze szczególnym uwzględnieniem pull requestów z forków, co ma na celu zapobieganie wykorzystywaniu wrażliwego wyzwalacza “pull_request_target”.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

Badacze bezpieczeństwa wykryli nowe kampanie phishingowe, powiązane z północnokoreańską grupą Contagious Interview, wykorzystujące platformy takie jak GitHub i narzędzia deweloperskie, w tym edytor VS Code, do dystrybucji złośliwego oprogramowania na systemy macOS, Linux i Windows. Celem ataków są organizacje finansowe, technologiczne i edukacyjne, a głównym celem jest kradzież danych z portfeli kryptowalutowych i poświadczeń.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)

GitHub wprowadza istotne zmiany w wersji 12 narzędzia npm, które domyślnie wyłączą wykonywanie skryptów instalacyjnych (preinstall, install, postinstall) dla zależności, aby przeciwdziałać zagrożeniom w łańcuchu dostaw oprogramowania. Celem jest zablokowanie możliwości uruchamiania złośliwego kodu za pośrednictwem mechanizmu hooków cyklu życia npm, wymagając od użytkowników jawnej zgody na uruchomienie skryptów, co znacząco zwiększy bezpieczeństwo projektów Node.js.

Źródło: The Hackers News
Kategoria: Cyberbezpieczeństwo
Ważność: ⭐⭐⭐⭐⭐⭐⭐⭐ (8/10)