CVE-2025-59838

W repozytorium Monkeytype przepływ pracy GitHub Actions fix-formatting.yml uruchamiany na zdarzeniu pull_request_target posiada uprawnienia zapisu do repozytorium, pobiera kod z forka i instaluje zależności z pliku package.json forka, a następnie uruchamia kontrolowany przez forka binarny plik oxfmt. Ponieważ akcja actions/checkout zachowuje podwyższony token GITHUB_TOKEN w konfiguracji Git do momentu wykonania niezaufanego kodu, zewnętrzny współtwórca może wykonać dowolny kod, odczytać lub wykraść token oraz modyfikować zawartość repozytorium, pull requesty i zgłoszenia. Problem dotyczy przepływu CI repozytorium, a nie aplikacji Monkeytype ani danych użytkowników; został naprawiony w wersji 26.43.0.

Monkeytype w wersji 26.26.0 i wcześniejszych ma podatność w generatorze kluczy rate-limit, który używa nagłówków kontrolowanych przez klienta (cf-connecting-ip i x-forwarded-for) przed wartością req.ip. Nieuwierzytelniony atakujący może obracać te nagłówki, aby ominąć ograniczenia rate-limitu, co pozwala na wielokrotne wysyłanie żądań do endpointów takich jak forgotPasswordEmail i verificationEmail, powodując mail bombing, wyczerpanie limitów Firebase/SMTP i unikanie ochrony brute-force.

Monkeytype w wersji 25.49.0 i wcześniejszych nieprawidłowo obsługuje dane wejściowe użytkownika, co pozwala atakującemu na wykonanie złośliwego kodu JavaScript u każdego, kto wyświetli złośliwe zgłoszenie cytatu. Pola quote.text i quote.source są danymi użytkownika i są wstawiane bezpośrednio do DOM; jeśli zawierają znaczniki HTML, zostaną wyrenderowane (po częściowym escapowaniu za pomocą cudzysłowów i tagów textarea).