GitHub CLI (gh) — официальный инструмент командной строки GitHub. До версии 2.97.0 некоторые URL-адреса HTTP-запросов интерполировали компоненты переменного пути без процентного кодирования, позволяя метасимволам пути URL-адреса в контролируемых злоумышленником репозиториях или значениях ресурсов делать адрес gh другой конечной точкой или ресурсом API, чем предполагалось пользователем. Эта проблема исправлена в версии 2.97.0.
Показать оригинальное описание (EN)
GitHub CLI (gh) is GitHub’s official command line tool. Prior to 2.97.0, some HTTP request URLs interpolate variable path components without percent encoding, allowing URL path metacharacters in attacker-controlled repository or resource values to make gh address a different API endpoint or resource than the user intended. This issue is fixed in version 2.97.0.
Характеристики атаки
Последствия
Строка CVSS v4.0