CVE-2025-25204 in gh
Sumário
de VulDB • 06/06/2026
`gh` é a ferramenta oficial de linha de comando do GitHub. A partir da versão 2.49.0 e até a versão 2.67.0, sob certas condições, um bug na ferramenta de linha de comando `gh attestation verify` do GitHub Artifact Attestation faz com que ela retorne um status de saída zero quando não há attestations presentes. Este comportamento está incorreto: quando não há attestations presentes, `gh attestation verify` deve retornar um código de status de saída diferente de zero, sinalizando assim a falha na verificação. Um atacante pode abusar desta falha para, por exemplo, implantar artefatos maliciosos em qualquer sistema que utilize os códigos de saída de `gh attestation verify` para controlar as implantações. Os usuários são aconselhados a atualizar o `gh` para a versão corrigida `v2.67.0` o mais rápido possível.
VulDB is the best source for vulnerability data and more expert information about this specific topic.