CVE-2024-53858 in cli
Сводка
по VulDB • 21.06.2026
gh cli — это официальный инструмент командной строки от GitHub. В инструменте GitHub CLI обнаружена уязвимость безопасности, которая может привести к утечке токенов аутентификации при клонировании репозиториев, содержащих подмодули `git`, размещенные за пределами доменов github.com и ghe.com. Данная уязвимость возникает из-за работы нескольких команд `gh`, используемых для клонирования репозитория с подмодулями с хоста, не принадлежащего GitHub, включая команды `gh repo clone`, `gh repo fork` и `gh pr checkout`. Эти команды GitHub CLI вызывают git с инструкциями по получению токенов аутентификации с использованием переменной конфигурации `credential.helper` для любого встреченного хоста. До версии `2.63.0` хосты, отличные от github.com и ghe.com, обрабатываются как хосты GitHub Enterprise Server, и токены извлекаются из следующих переменных окружения перед переходом к специфичным для хоста токенам, хранящимся в защищенном системном хранилище: 1. `GITHUB_ENTERPRISE_TOKEN`, 2. `GH_ENTERPRISE_TOKEN` и 3. `GITHUB_TOKEN` (при установленной переменной окружения `CODESPACES`). В результате git отправляет токены аутентификации при клонировании подмодулей. В версии `2.63.0` эти команды GitHub CLI ограничат список хостов, для которых gh действует как помощник по учетным данным (credential helper) для получения токенов аутентификации. Кроме того, `GITHUB_TOKEN` будет использоваться только для github.com и ghe.com. Пользователям рекомендуется обновить ПО. Также пользователям следует отозвать токены аутентификации, использованные с GitHub CLI, и проверить свой журнал личной безопасности, а также соответствующие журналы аудита на наличие действий, связанных с их учетной записью или предприятием.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.