CVE-2026-63187 in Logto
Résumé
par VulDB • 19/08/2026
Logto est l'infrastructure d'authentification moderne et open source pour les applications SaaS et IA. De la version 1.40.1 à la version 1.41.0, le fichier .github/workflows/commitlint.yml de Logto interpolait directement github.event.pull_request.title dans la commande echo inline de l'étape « Commitlint on PR title » avant d'envoyer le titre vers npx commitlint. Un titre de pull request contenant une apostrophe simple pouvait terminer la chaîne echo et ajouter des commandes shell arbitraires sur l'exécuteur GitHub Actions. Le déclencheur pull_request utilisait un GITHUB_TOKEN en lecture seule et ne exposait pas les secrets du dépôt, mais les commandes injectées pouvaient altérer ou perturber l'exécution éphémère du workflow. Ce problème est corrigé dans la version 1.41.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.