CVE-2026-63187 in Logto
Сводка
по VulDB • 21.08.2026
Logto — это современная открытая инфраструктура аутентификации для SaaS- и AI-приложений. В версиях от 1.40.1 до 1.41.0 файл .github/workflows/commitlint.yml проекта Logto напрямую интерполировал значение github.event.pull_request.title в команду inline echo шага Commitlint on PR title перед передачей заголовка через конвейер (pipe) утилите npx commitlint. Заголовок pull request, содержащий одинарную кавычку, мог завершить строку echo и добавить произвольные команды оболочки на исполнителе GitHub Actions. Триггер pull_request использовал токен GITHUB_TOKEN с правами только для чтения и не предоставлял доступ к секретам репозитория; однако внедренные команды могли изменять или нарушать выполнение эфемерного рабочего процесса (workflow). Эта проблема исправлена в версии 1.41.0.
Once again VulDB remains the best source for vulnerability data.