GitHub CLI CVE-2025-48501: Auth Token Leakage to TUF Mirror API via gh commands

漏洞概述 标题: Incorrect authorization header in API requests to TUF repository mirrors via 'gh attestation', 'gh release verify', and 'gh release verify-asset' commands 描述: GitHub CLI 在通过 、 和 命令向 TUF 仓库镜像发送 API 请求时，错误地包含了授权头。这导致非 GitHub API 端点的请求也携带了 GitHub 用户的认证令牌。 影响范围 受影响用户: - 之前运行过 、 或 命令的已认证 GitHub 用户。 - 设置了 或 环境变量，并运行过上述命令的用户。 受影响版本: - (Go) 版本 <= v2.92.0 修复版本: - (Go) 版本 v2.93.0 修复方案 1. 撤销认证令牌: - 撤销与 GitHub CLI 使用的个人访问令牌。 - 撤销 GitHub CLI OAuth 应用令牌。 2. 升级 CLI: - 升级到 版本 2.93.0 或更高版本。 3. 审查日志: - 审查个人安全日志和相关审计日志，检查与账户或企业相关的操作。 其他信息 CVSS v3 基础指标: - 攻击向量: 网络 - 攻击复杂度: 高 - 所需特权: 无 - 用户交互: 无 - 范围: 未改变 - 机密性: 高 - 完整性: 高 - 可用性: 高 CVE ID: CVE-2025-48501 弱点: 无 CWE 贡献者: - BagToad (Remediation reviewer) - komodorio (Remediation reviewer) - babakks (Remediation developer) 总结 该漏洞涉及 GitHub CLI 在向 TUF 仓库镜像发送 API 请求时错误地包含授权头，导致非 GitHub API 端点的请求也携带了用户的认证令牌。受影响的用户需要撤销认证令牌、升级 CLI 并审查相关日志以确保安全。

Goal Reached Thanks to every supporter — we hit 100%!

GitHub CLI CVE-2025-48501: Auth Token Leakage to TUF Mirror API via gh commands

More from this source