CVE-2025-67844: Mintlify平台中的CWE-425直接请求（“强制浏览”）

严重性：中 类型：漏洞

CVE-2025-67844

2025年11月15日之前版本的Mintlify平台中的GitHub集成API，允许远程攻击者通过仓库所有者和名字段获取敏感的仓库元数据。该API未能验证配置期间提供的仓库所有者和名字段是否属于与用户组织关联的特定GitHub应用安装ID。

AI分析技术摘要

CVE-2025-67844是一个被归类为CWE-425（直接请求或强制浏览）的漏洞，影响2025年11月15日之前版本的Mintlify平台的GitHub集成API。问题源于API配置期间对仓库所有者和名字段验证不足，平台未能确认这些字段属于与用户组织关联的GitHub应用安装ID。这一缺陷允许拥有身份验证访问权限（PR:L）的远程攻击者，构造指定任意仓库所有者和名称值的API请求，从而获取其授权范围之外的仓库的敏感元数据。

该漏洞无需用户交互（UI:N），可通过网络（AV:N）利用，攻击复杂度低（AC:L）。其影响仅限于机密性（C:L），因为攻击者可以获取仓库元数据，但无法更改数据或中断服务（I:N, A:N）。该漏洞的CVSS 3.1基础评分为5.0，表明其为中等严重性。目前尚无补丁或已知漏洞利用的记载，但此缺陷存在信息泄露风险，可能助长进一步的攻击或侦察活动。核心技术问题是缺乏将仓库标识符与GitHub应用安装ID关联起来的所有权验证，而这在多租户或组织范围内的集成中是关键的安全控制措施。

潜在影响

对于欧洲组织而言，此漏洞可能导致未经授权披露敏感的仓库元数据，包括可能机密的项目细节、配置数据或内部开发信息。此类暴露可帮助攻击者绘制组织资产图、识别易受攻击的代码库，或策划针对性攻击，如社会工程学或供应链攻击。虽然该漏洞不允许修改或拒绝服务，但机密性破坏可能损害信任和合规性，特别是在涉及数据保护和隐私的GDPR法规下。重度依赖与GitHub集成的Mintlify平台进行文档编制或开发工作流的组织面临更高风险。对于数据机密性要求严格的行业（如金融、医疗保健和关键基础设施），影响尤为显著。尽管利用此漏洞需要身份验证访问权限，但内部威胁或受损的凭据可被利用来攻击此缺陷。缺乏已知漏洞利用降低了即时风险，但并未消除未来攻击的可能性。

缓解建议

为缓解CVE-2025-67844，组织应确保将Mintlify平台更新至2025年11月15日之后发布的版本，这些版本包含针对GitHub应用安装ID对仓库所有者和名字段的适当验证。在补丁可用之前，应限制对GitHub集成API的访问，仅允许受信任的用户和具有最低权限的服务账户访问。实施监控和告警机制，针对指定预期范围之外仓库标识符的异常API请求。执行强身份验证和凭据管理策略，以降低账户泄露风险。定期审计API使用日志，以检测潜在的强制浏览尝试。此外，组织应考虑在可能的情况下，将敏感仓库或元数据从集成工具中隔离出来，并在GitHub应用安装中应用最小权限原则。建议与Mintlify支持团队合作，以获取及时的更新和安全建议。最后，应将此漏洞纳入事件响应计划，以便快速应对任何检测到的漏洞利用尝试。

受影响国家

德国、英国、法国、荷兰、瑞典、爱尔兰

来源：CVE数据库 V5 发布日期：2025年12月19日，星期五