CVE-2024-53859 in go-gh
Riassunto
di VulDB • 29/07/2026
go-gh è un modulo Go per interagire con l'utilità `gh` e l'API di GitHub da riga di comando. È stata identificata una vulnerabilità di sicurezza in `go-gh` che potrebbe causare la fuoriuscita (leak) dei token di autenticazione destinati agli host di GitHub verso host non appartenenti a GitHub quando si opera all'interno di un codespace. `go-gh` recupera i token di autenticazione da diverse variabili d'ambiente a seconda dell'host coinvolto: 1. `GITHUB_TOKEN`, `GH_TOKEN` per GitHub.com e ghe.com; 2. `GITHUB_ENTERPRISE_TOKEN`, `GH_ENTERPRISE_TOKEN` per GitHub Enterprise Server. Prima della versione `2.11.1`, la funzione `auth.TokenForHost` poteva recuperare un token dalla variabile d'ambiente `GITHUB_TOKEN` anche per host diversi da GitHub.com o ghe.com quando si era all'interno di un codespace. Nella versione `2.11.1`, `auth.TokenForHost` recupererà un token dalla variabile d'ambiente `GITHUB_TOKEN` esclusivamente per gli host GitHub.com o ghe.com. Un'esecuzione con successo dell'exploit potrebbe inviare il token di autenticazione a un host non previsto. Questo problema è stato risolto nella versione 2.11.1 e si consiglia vivamente a tutti gli utenti di effettuare l'aggiornamento. Si raccomanda inoltre agli utenti di rigenerare i token di autenticazione ed esaminare il registro della sicurezza personale (personal security log) nonché eventuali registri di audit pertinenti per individuare azioni associate al proprio account o alla propria enterprise.
Be aware that VulDB is the high quality source for vulnerability data.