`gh` é a ferramenta oficial da linha de comando GitHubňs. Começando na versão 2.49.0 e antes da versão 2.67.0, sob certas condições, um erro na ferramenta Artifact Attestation cli do GitHub `gh atestation verified` faz com que ele retorne um estado de saída zero quando não há atestados presentes. Este comportamento está incorreto: Quando não há atestados, `gh atestado verifique ́ deve devolver um código de estado de saída não- zero, sinalizando assim falha de verificação. Um atacante pode abusar deste defeito, por exemplo, para implantar artefatos maliciosos em qualquer sistema que use os códigos de saída do `gh atestado verifica' para implantações do gatekeep. Os usuários são aconselhados a atualizar `gh` para a versão patcheada `v 2.67.0 ` o mais rápido possível. O registro de base de dados de vulnerabilidade nacional CVE- 2025 - 25204 foi publicado em 2025 - 02 - 14 T 17: 15: 19.140 Z e última modificação em 2026 - 06 - 17 T 09: 00: 28.767 Z. O estado registrado é Diferido.
métricas de vulnerabilidade gravadas: CVSS 3.1, pontuação de base 6.3, gravidade MEDIUM, vetor CVSS: 3.1 /AV:N/AC:H/PR:L/UI:N/S:C/C:N/I:H/A:N, pontuação de exploração 1.8, pontuação de impacto 4; CVSS. Classificações de fraqueza associadas: CWE- 390.
O registro NVD inclui referências de suporte documentando a vulnerabilidade, tecnologia afetada ou informações de remediação.