CVE-2026-48501

GitHub CLI (gh), GitHub'ın resmi komut satırı aracıdır. 2.93.0 sürümünden önce GitHub CLI; gh attestation, gh release verify ve gh release verify-asset komutları aracılığıyla TUF depo aynalarına yapılan API isteklerine yetkilendirme üst bilgisini (authorization header) hatalı bir şekilde dahil etmektedir. CLI, giden isteklere otomatik olarak belirteçler ekleyen bir kimlik doğrulama katmanına sahip paylaşılan bir HTTP istemcisi kullanır. Bu katman doğru ana makine tespitinden yoksundur ve hedef ana makineyi yanlış ilişkilendirerek ona asla almaması gereken bir belirteç sağlayabilir. Spesifik olarak, ana makine normalleştirme mantığı herhangi bir *.github.com alt alan adını github.com şeklinde daraltır; bu nedenle tuf-repo.github.com adresine (bir GitHub API uç noktası değil, bir GitHub Pages sitesidir) yapılan bir istek, github.com'a yapılan bir istek olarak değerlendirilir ve kullanıcının github.com belirtecini alır. github.com veya bilinen bir GHES örneği ile hiç eşleşmeyen ana makineler için çözücü, ayarlanmışsa GH_ENTERPRISE_TOKEN seçeneğine geri döner. gh attestation, gh release verify ve gh release verify-asset komutları, normal operasyonlarının bir parçası olarak birkaç harici ana makineden veri çeker (tuf-repo.github.com ve tuf-repo-cdn.sigstore.dev üzerinden TUF meta verileri, Azure Blob Storage üzerinden artefakt paketleri). Bu istekler aynı kimliği doğrulanmış HTTP istemcisi üzerinden geçtiği için belirteç hepsine gönderilir. Bu güvenlik açığı 2.93.0 sürümünde giderilmiştir.