CVE-2026-48501

GitHub CLI (gh), GitHub-ın rəsmi komanda sətri alətidir. 2.93.0 versiyasından əvvəl GitHub CLI, gh attestation, gh release verify və gh release verify-asset komandaları vasitəsilə TUF repozitoriya güzgülərinə göndərilən API sorğularına avtorizasiya başlığını yanlış şəkildə daxil edir. CLI, çıxan sorğulara tokenləri avtomatik əlavə edən autentifikasiya təbəqəsinə malik ortaq bir HTTP klientindən istifadə edir. Bu təbəqədə dəqiq host aşkarlanması mexanizmi yoxdur və hədəf hostu yanlış müəyyən edərək ona heç vaxt almamalı olduğu tokeni təqdim edə bilər. Xüsusilə, hostun normallaşdırılması məntiqi hər hansı *.github.com alt domenini github.com-a çevirir, buna görə də tuf-repo.github.com-a (GitHub API son nöqtəsi deyil, GitHub Pages saytıdır) göndərilən sorğu github.com-a sorğu kimi qəbul edilir və istifadəçinin github.com tokenini alır. github.com və ya məlum GHES instansiyası ilə uyğunlaşmayan hostlar üçün resolver, əgər təyin edilibsə, GH_ENTERPRISE_TOKEN-ə geri dönür. gh attestation, gh release verify və gh release verify-asset komandaları öz normal fəaliyyətlərinin tərkibində bir neçə xarici hostdan məlumatlar götürür (tuf-repo.github.com və tuf-repo-cdn.sigstore.dev-dən TUF metadata-sı, Azure Blob Storage-dan artefakt paketləri). Bu sorğular eyni autentifikasiya olunmuş HTTP klienti vasitəsilə getdiyi üçün token onların hamısına göndərilir. Bu zəiflik 2.93.0 versiyasında aradan qaldırılıb.