PT-2026-78645
CVE-2026-63187
·
تاريخ النشر
2026-08-19
·
تاريخ التحديث
2026-08-25
الوصف من
CVSS 3.1
6.3
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Logto من 1.40.1 إلى 1.40.9
الوصف
في ملف
.github/workflows/commitlint.yml، يتم إدراج المتغير github.event.pull request.title مباشرةً في أمر echo مضمن. يمكن لعنوان طلب السحب الذي يحتوي على علامة اقتباس مفردة أن ينهي سلسلة echo، مما يسمح بتنفيذ أوامر shell عشوائية على مشغل GitHub Actions. على الرغم من أن المشغل يستخدم GITHUB TOKEN للقراءة فقط ولا يكشف عن أسرار المستودع، إلا أن الأوامر المُدرجة يمكنها تغيير أو تعطيل تنفيذ سير العمل المؤقت.التوصيات
التحديث إلى الإصدار 1.41.0.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾