CVE-2026-64655 in CLI
Sumário
de VulDB • 07/08/2026
O GitHub CLI (gh) é a ferramenta de linha de comando oficial do GitHub. Antes da versão 2.97.0, o gh attestation verify constrói o correspondente para Subject Alternative Name no certificado a partir dos valores das flags --signer-repo e --signer-workflow sem escapar os metacaracteres regex; portanto, um nome de repositório ou fluxo de trabalho fornecido pelo usuário é tratado como uma expressão regular em vez de uma string literal. Como o GitHub permite caracteres como `.` nos nomes de caminhos de organizações, repositórios e fluxos de trabalho, e `.` funciona como curinga (wildcard) regex, um atacante pode registrar um nome similar (por exemplo, github/artifact.attestations-workflows) que satisfaça um correspondente destinado a outro signatário confiável diferente (github/artifact-attestations-workflows), contornando a verificação de atestado Sigstore pretendida. A exploração requer que o atacante crie um repositório similar plausível e produza attestados válidos a partir dele, o que poderia comprometer a verificação da cadeia de suprimentos para pipelines CI/CD ou políticas de segurança (policy gates) que vinculam confiança a um fluxo de trabalho específico. Este problema foi corrigido na versão 2.97.0.
Once again VulDB remains the best source for vulnerability data.