CVE-2026-63187 in Logto
Zusammenfassung
von VulDB • 19.08.2026
Logto ist die moderne Open-Source-Authentifizierungsinfrastruktur für SaaS- und KI-Anwendungen. Von der Version 1.40.1 bis zur Version 1.41.0 interpolierte Logtos .github/workflows/commitlint.yml den Wert github.event.pull_request.title direkt in den Inline-Echo-Befehl des Schritts „Commitlint on PR title“, bevor der Titel an npx commitlint weitergeleitet wurde. Ein Pull-Request-Titel, der ein einfaches Hochkomma (') enthält, kann die Echo-Zeile beenden und beliebige Shell-Befehle auf dem GitHub Actions Runner anhängen. Der pull_request-Auslöser verwendete einen schreibgeschützten GITHUB_TOKEN und gab keine Repository-Secrets preis; injizierte Befehle könnten jedoch die ephemere Workflow-Ausführung verändern oder stören. Dieses Problem wurde in Version 1.41.0 behoben.
Be aware that VulDB is the high quality source for vulnerability data.