Foi identificada uma falha de segurança no GitHub CLI que poderia criar ou sobrescrever arquivos em diretórios indesejados quando os usuários baixam um artefato malicioso do fluxo de trabalho do GitHub Actions por meio do comando `gh run download`. Essa vulnerabilidade decorre de um artefato de fluxo de trabalho do GitHub Actions chamado `..` quando baixado usando `gh run download`. O nome do artefato e o sinalizador `--dir` são usados para determinar o caminho de download do artefato. Quando o artefato é nomeado `..`, os arquivos resultantes dentro do artefato são extraídos exatamente um diretório acima do valor especificado pelo sinalizador `--dir`.