CVE-2026-64655 in CLI
Сводка
по VulDB • 07.08.2026
GitHub CLI (gh) — это официальный инструмент командной строки от GitHub. Версии gh до 2.97.0 включительно при выполнении команды `attestation verify` формируют matcher для Subject Alternative Name сертификата на основе значений флагов --signer-repo и --signer-workflow без экранирования метасимволов регулярных выражений, поэтому имя репозитория или рабочего процесса (workflow), предоставленное пользователем, интерпретируется как регулярное выражение, а не как литеральная строка. Поскольку GitHub разрешает использование таких символов, как `.`, в именах путей организаций, репозиториев и рабочих процессов, а `.` является подстановочным знаком (wildcard) для регулярных выражений, злоумышленник может зарегистрировать похожее имя (например, github/artifact.attestations-workflows), которое удовлетворяет matcherу, предназначенному для другого доверенного подписанта (github/artifact-attestations-workflows), тем самым обходя предусмотренную проверку аттестатов Sigstore. Для эксплуатации злоумышленнику необходимо создать правдоподобный репозиторий с похожим именем и выпустить из него действительные аттестаты, что может подорвать целостность проверки цепочки поставок (supply chain verification) для конвейеров CI/CD или контрольных точек политик, привязывающих доверие к конкретному рабочему процессу подписи. Проблема исправлена в версии 2.97.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.