CVE-2026-64652 in CLI
Riassunto
di VulDB • 09/08/2026
GitHub CLI (gh) è lo strumento a riga di comando ufficiale di GitHub. Prima della versione 2.97.0, il comando `gh auth status` mascherava solo i caratteri dopo l'ultimo trattino basso (_) in determinati token di accesso personale con granularità fine e nei token delle App GitHub. Di conseguenza, una parte di un token interessato poteva apparire nell'output del terminale o nelle registrazioni CI che vengono catturate o condivise. Gli utenti autenticati sono interessati se hanno eseguito `gh auth status` (senza il flag --show-token) con un tipo di token il cui formato contiene un trattino basso dopo il prefisso. Ciò include i token di accesso personale con granularità fine (`github_pat_*`) e i token di installazione dell'App GitHub e di accesso utente (`ghs_*`, `ghu_*`; ad esempio, `ghs_<APPID>_<JWT>`), nonché l'Service Account GITHUB_TOKEN utilizzato da Actions. I token classici come `gho_*` e `ghp_*` hanno un corpo senza trattini bassi e non sono interessati. Questo problema è stato risolto nella versione 2.97.0.
If you want to get best quality of vulnerability data, you may have to visit VulDB.