JVNDB-2026-016837

GitHubのcliにおけるエスケープ、メタ、またはコントロールシーケンスの不適切な無効化に関する脆弱性

`gh`はGitHubの公式コマンドラインツールです。バージョン1.6.0から2.92.0未満にかけて、GitHub CLIにセキュリティ上の脆弱性が確認されており、ユーザーが`gh run view --log`または`gh run view --log-failed`を使ってGitHub Actionsのワークフローログを表示する際にターミナルのエスケープシーケンス注入が発生する可能性があります。この脆弱性はGitHub CLIがActionsの生ログ出力を処理する方法に起因しています。`gh run view --log`および`gh run view --log-failed`コマンドは、ワークフローログの行を標準出力または設定されたペイジャーに対して端末制御シーケンスを無効化せずにストリーミングします。攻撃者がPRをトリガーとするワークフローなどを通じてGitHub Actionsのログ内容に影響を与えることができれば、エスケープシーケンスを埋め込み、ユーザーがその実行内容を確認する際にターミナルで再生されます。被害者のターミナルエミュレーターによっては、注入されたシーケンスがウィンドウタイトルを変更したり、画面の内容を操作したり、ある種のターミナルエミュレーター（例えばscreenなど）では任意のコマンドを実行させる可能性があります。この脆弱性はバージョン2.92.0で修正されました。

GitHub

• cli 1.6.0 以上 2.92.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : GitHub Actions log output in `gh run view` allows terminal escape sequence injection  Advisory  cli/cli  GitHub

1. エスケープ、メタ、またはコントロールシーケンスの不適切な無効化(CWE-150) [その他]

1. CVE-2026-45803

1. National Vulnerability Database (NVD) : CVE-2026-45803

• [2026年05月25日]
    掲載