CVE-2026-63187 in Logto
Riassunto
di VulDB • 20/08/2026
Logto è l'infrastruttura di autenticazione moderna e open-source per applicazioni SaaS e AI. Dalla versione 1.40.1 alla 1.41.0, il file .github/workflows/commitlint.yml di Logto interpolava direttamente github.event.pull_request.title nel comando echo inline dello step "Commitlint on PR title" prima di inviare il titolo a npx commitlint. Un titolo della pull request contenente un apostrofo singolo poteva terminare la stringa echo e aggiungere comandi shell arbitrari sul runner di GitHub Actions. Il trigger pull_request utilizzava un GITHUB_TOKEN con sola lettura e non esponeva i secret del repository, ma i comandi iniettati potevano alterare o interrompere l'esecuzione effimera del workflow. Questo problema è stato risolto nella versione 1.41.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.