Next edition: 2025-05-14
Season 22 Episode 4
Weaponizing Dependabot: Pwn Request at its finest
The next edition of Montrehack will be held on Wednesday May 14th 18:00 to 21:00.
Turn Dependabot into your unwilling accomplice! Witness the ultimate ‘Confused Deputy’ attack as we manipulate PR updates across forks, forcing Dependabot to bypass github.actor checks and execute our malicious code with its privileges. Bonus: Unveils a newly discovered, never-disclosed technique to refine this exploit.
Tools and Experience Required
- GitHub Account
Where
- Marché Bonsecours (350 Rue Saint-Paul E, Montréal, QC H2Y 1H2)
- Follow the presentation online on Twitch
- Participate in teams or on your own on Discord
When
Wednesday may 14th 18:00 to 21:00
How
- Workshop style
- Bring your own laptop
- Challenges will be analyzed
- Small groups of people can work on each challenge
- Solutions to each challenge will be presented to everyone at the end of the event
Credits
Presented by Sébastien Graveline
Prochaine édition: 2025-05-14
Saison 22 épisode 4
Weaponizing Dependabot: Pwn Request at its finest
La prochaine édition de Montréhack aura lieu Mercredi 14 mai 18:00 à 21:00.
Faites de Dependabot votre complice malgré lui! Assistez à l’attaque ultime du “député confus” alors que nous manipulons les mises à jour de pull requests entre forks, forçant Dependabot à contourner les vérifications github.actor et à exécuter notre code malveillant avec ses privilèges. Bonus: une technique inédite et jamais révélée jusqu’ici pour affiner encore davantage cet exploit.
Outils et expérience requis
- Compte Github
Où
- Marché Bonsecours (350 Rue Saint-Paul E, Montréal, QC H2Y 1H2)
- Suivez la présentation en ligne sur Twitch
- Participez seul ou en équipe sur Discord
Quand
Mercredi 14 mai 18:00 à 21:00
Comment
- Formule atelier
- Apportez votre ordinateur portable
- Des problèmes seront étudiés et expliqués
- Chaque problème sera analysé en petits groupes
- Les solutions seront présentées avec tout le monde à la fin de la rencontre
Remerciements
Défi présenté par Sébastien Graveline
Sponsors // Partenaires
Interested to sponsor or present a challenge? Contact us here.