Що нового в GitHub CLI 2.102

Коротко

Випуск GitHub CLI 2.102 зосереджений на усуненні чотирьох вразливостей безпеки, пов'язаних із символічними посиланнями, верифікацією атестацій та роботою з навичками. Також оновлення містить виправлення для використання токенів ghu_ та виконання команди скидання стандартного репозиторію. У наступному патч-релізі оновлено залежності та версію Go toolchain.

Нові можливості

Безпека

У цьому релізі закрито чотири вразливості:

• Запис через символічні посилання: команди gh release download, gh run download, gh repo read-file --output та gh attestation download могли записувати віддалений вміст у непередбачений локальний файл, якщо шлях призначення містив символічні посилання (GHSA-39wj-f2f4-978v).
• Регістронезалежне порівняння гілок в атестаціях: команда gh attestation verify порівнювала значення параметра --source-ref без урахування регістру, через що атестація, створена з гілки з відмінністю лише у регістрі символів, могла проходити перевірку для політики з іншою назвою гілки (GHSA-4mq3-hpgx-9cx8).
• Ін'єкція опцій у навичках: інтерактивна команда gh skill search передавала шляхи до репозиторіїв із результатів пошуку в команду gh skill install без роздільника опцій, що дозволяло результату пошуку впроваджувати параметри інсталятора та змінювати місце запису файлів навичок (GHSA-qcwj-mr2r-2cx7).
• Невідповідність робочого процесу в атестаціях: команда gh attestation verify зіставляла значення --signer-workflow лише з початком ідентифікатора сертифіката підпису, тому атестація, підписана іншим workflow у закріпленому репозиторії, могла пройти верифікацію, якщо її шлях починався з закріпленого значення (GHSA-wjmr-j3rp-mh2g).

Документація та додаткові інструменти

• Додано навичку (skill) для розділених на глави записів CLI та покращено рендеринг записів CLI.
• У довідці gh search задокументовано підтримку пошукових операторів.
• Для звітів про вразливості встановлено пріоритет платформи HackerOne.
• Уточнено настанови щодо pull request для рев'юверів.

Виправлення та покращення

• Дозволено використання токенів ghu_ для підтримуваних акторів із метою прикріплення файлів.
• Дозволено виклик команди repo set-default --unset без передавання аргументу.
• З довідки команди gh project item-list вилучено версії хостів.
• Оновлено інструментарій Go toolchain з версії 1.27.1 до 1.27.3 та бібліотеку golang.org/x/net з 0.58.0 до 0.60.0.
• Оновлено залежності charm.land/bubbletea/v2 до 2.0.10, github.com/klauspost/compress до 1.20.1, nodeselector/setup-apple-codesign до 0.0.3 та оновлено групу codeql-actions.