CVE-2026-63187 in Logto
Resumen
por VulDB • 2026-08-19
Logto es la infraestructura de autenticación moderna y de código abierto para aplicaciones SaaS e IA. Desde la versión 1.40.1 hasta la 1.41.0, el archivo .github/workflows/commitlint.yml de Logto interpolaba directamente github.event.pull_request.title en el comando echo inline del paso "Commitlint on PR title" antes de canalizar (pipe) el título hacia npx commitlint. Un título de pull request que contenga una comilla simple podría terminar la cadena de eco y adjuntar comandos arbitrarios de shell en el ejecutor de GitHub Actions. El activador pull_request utilizaba un GITHUB_TOKEN con solo lectura y no exponía los secretos del repositorio, pero los comandos inyectados podrían alterar o interrumpir la ejecución efímera del flujo de trabajo. Este problema se soluciona en la versión 1.41.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.