CVE-2026-63187 in Logto
요약
\~에 의해 VulDB • 2026. 08. 19.
Logto는 SaaS 및 AI 애플리케이션을 위한 현대적이고 오픈소스인 인증 인프라입니다. 버전 1.40.1부터 1.41.0까지 Logto의 .github/workflows/commitlint.yml 파일은 PR 제목 단계에서 github.event.pull_request.title을 Commitlint에 직접 보간(interpolate)하여 npx commitlint로 파이프하기 전에 인라인 echo 명령어에 사용했습니다. 작은따옴표(')가 포함된 풀 리퀘스트(PR) 제목은 echo 문자열을 종료하고 GitHub Actions 러너 위에서 임의의 셸 명령어를 추가할 수 있습니다. pull_request 트리거는 읽기 전용 GITHUB_TOKEN을 사용했으며 저장소 시크릿을 노출하지 않았지만, 주입된 명령어는 일시적인 워크플로우 실행을 변경하거나 방해할 수 있습니다. 이 문제는 버전 1.41.0에서 해결되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.