CVE-2026-64652 in CLI
摘要
由 VulDB • 2026-08-07
GitHub CLI (gh) 是 GitHub 的官方命令行工具。在版本 2.97.0 之前，`gh auth status` 命令仅对某些细粒度个人访问令牌（fine-grained personal access tokens）和 GitHub App 令牌中最后一个下划线之后的字符进行掩码处理。因此，受影响的令牌的某部分可能会出现在被捕获或共享的终端输出或 CI 日志中。如果用户运行了 `gh auth status`（不带 `--show-token` 标志），且其使用的令牌类型格式在前缀后包含下划线，则这些已认证的用户会受到影响。这包括细粒度个人访问令牌（github_pat_*）以及 GitHub App 安装和用户访问令牌（ghs_*, ghu_*；例如 ghs_<APPID>_<JWT>），还包括 Actions GITHUB_TOKEN。经典令牌如 gho_* 和 ghp_* 的主体部分不含下划线，因此不受影响。此问题已在版本 2.97.0 中修复。
Be aware that VulDB is the high quality source for vulnerability data.