wolfictl — это инструмент командной строки для работы с Wolfi. Проблема с аутентификацией git в версиях до 0.16.10 позволяет локальному пользователю отправлять токен GitHub на удаленные серверы, отличные от github.com. Большинство функций wolfictl, зависящих от git, полагаются на собственный пакет git, который содержит централизованную логику для реализации взаимодействия с репозиториями git. Некоторые из этих функций требуют аутентификации для доступа к частным репозиториям. Центральная функция GetGitAuth ищет токен GitHub в переменной среды GITHUB_TOKEN и возвращает его в качестве объекта базовой аутентификации HTTP для использования с библиотекой github.com/go-git/go-git/v5. Большинство вызывающих (прямых или косвенных) GetGitAuth используют токен для аутентификации только на github.com; однако в некоторых случаях вызывающие передавали эту аутентификацию, не проверяя, размещен ли удаленный репозиторий git на github.com. Такое поведение существовало в той или иной форме с момента коммита 0d06e1578300327c212dda26a5ab31d09352b9d0 — зафиксировано 25 января 2023 г. Это влияет на всех, кто запускал команды wolfictl check update с конфигурацией Melange, которая включала шаг директивы git-checkout, ссылавшийся на репозиторий git, не размещенный на github.com. Это также влияет на всех, кто запускал wolfictl update \u003curl\u003e с удаленным URL-адресом за пределами github.com. Кроме того, эти подкоманды должны были запускаться с переменной среды GITHUB_TOKEN, установленной в действительный токен GitHub. Пользователям следует обновиться до версии 0.16.10, чтобы получить исправление.