CVE-2026-64655

Nome do Software Vulnerável e Versões Afetadas GitHub CLI (gh) versões anteriores a 2.97.0

Descrição O comando gh attestation verify não escapa metacaracteres de regex ao construir o correspondente Subject Alternative Name do certificado a partir dos valores das flags --signer-repo e --signer-workflow. Consequentemente, nomes de repositórios ou fluxos de trabalho fornecidos pelo usuário são processados como expressões regulares em vez de strings literais. Como o GitHub permite o caractere . em nomes de organizações, repositórios e caminhos de fluxos de trabalho, e o . atua como um curinga de regex, um invasor pode usar um nome semelhante para satisfazer um correspondente destinado a um assinante confiável diferente. Isso permite a evasão da verificação de atestação Sigstore, podendo comprometer a verificação da cadeia de suprimentos para pipelines de CI/CD ou portões de política que dependem de fluxos de trabalho de assinatura específicos.

Recomendações Atualize para a versão 2.97.0.