CVE-2026-102289

Nome do Software Vulnerável e Versões Afetadas zizmor versão 1.27.0

Description O log de depuração serializa a configuração do aplicativo analisada, fazendo com que as credenciais do GitHub sejam gravadas no stderr em texto simples. Isso ocorre quando os tokens são fornecidos via variáveis de ambiente GH TOKEN, GITHUB TOKEN, ZIZMOR GITHUB TOKEN ou opções de linha de comando --gh-token, --github-token e --zizmor-github-token. O log afetado é acionado ao usar as opções -v ou --verbose ou uma diretiva RUST LOG aplicável durante a operação online normal ou ao usar --no-online-audits. Se terceiros tiverem acesso a logs de CI, artefatos de suporte, capturas de terminal ou relatórios de bugs públicos contendo essa saída, poderão usar as credenciais de acordo com os escopos e permissões do token.

Recommendations Atualize o zizmor para a versão 1.28.0. Como solução temporária, evite usar as opções -v ou --verbose e a diretiva RUST LOG ao fornecer credenciais do GitHub.