CVE-2026-63187 in Logto
الملخص
بحسب VulDB • 20/08/2026
Logto هو بنية أساسية حديثة ومفتوحة المصدر للمصادقة (auth) مخصصة لتطبيقات SaaS وAI. من الإصدار 1.40.1 حتى 1.41.0، كان ملف `.github/workflows/commitlint.yml` في Logto يقوم بالتداخل المباشر (interpolation) لقيمة `github.event.pull_request.title` داخل أمر echo المضمنة في خطوة "Commitlint on PR title" قبل تمرير العنوان إلى `npx commitlint`. يمكن لعنوان طلب السحب (pull request) الذي يحتوي على علامة اقتباس مفردة أن ينهي سلسلة نص الأمر echo ويُلحق أوامر shell عشوائية على مشغل GitHub Actions. استخدم مُفعِّل pull_request رمز GITHUB_TOKEN ذي الصلاحيات للقراءة فقط ولم يعرّض أسرار المستودع، لكن الأوامر المُحقنة يمكنها تغيير أو تعطيل تنفيذ العمل المؤقت (ephemeral workflow). تم إصلاح هذه المشكلة في الإصدار 1.41.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.