Base de CVEs

A GitHub CLI (gh) é a ferramenta oficial de linha de comando do GitHub. Antes da versão 2.93.0, a GitHub CLI inclui incorretamente o cabeçalho de autorização em requisições de API enviadas a espelhos de repositórios TUF por meio dos comandos gh attestation, gh release verify e gh release verify-asset. A CLI usa um cliente HTTP compartilhado com uma camada de autenticação que anexa automaticamente tokens às requisições de saída. Essa camada não possui detecção precisa de host e pode atribuir incorretamente o host de destino, fornecendo-lhe um token que nunca deveria receber. Especificamente, a lógica de normalização de host reduz qualquer subdomínio de *.github.com para github.com, de modo que uma requisição para tuf-repo.github.com (um site do GitHub Pages, não um endpoint da API do GitHub) é tratada como uma requisição para github.com e recebe o token github.com do usuário. Para hosts que não correspondem a github.com nem a uma instância GHES conhecida, o resolvedor recorre a GH_ENTERPRISE_TOKEN, caso definido. Os comandos gh attestation, gh release verify e gh release verify-asset buscam dados de vários hosts externos como parte de sua operação normal (metadados TUF de tuf-repo.github.com e tuf-repo-cdn.sigstore.dev, pacotes de artefatos do Azure Blob Storage). Como essas requisições passam pelo mesmo cliente HTTP autenticado, o token é enviado a todos eles. Esta vulnerabilidade foi corrigida na versão 2.93.0.