Docker Hub Security Advisory: CVE-2026-105445

Push attribution for commits in limited public preview

GitHub hiện ghi nhận người dùng được xác thực đã đẩy (push) mỗi commit, hiển thị danh tính người đẩy được xác thực trong UI và API cùng với các trường tác giả (author) và người commit (committer) hiện có. Các trường tác giả và người commit hiện tại chỉ là chuỗi do client cung cấp, bất kỳ ai có quyền ghi đều có thể giả mạo. Một quy tắc mới cho repository "Committer must match pusher" sẽ chặn các lần đẩy mà metadata của người commit không khớp với email được xác thực của người đẩy, đóng con đường giả mạo danh tính commit. Tính năng này hiện đang có sẵn trong bản preview công khai hạn chế cho khách hàng GitHub Enterprise qua yêu cầu của team tài khoản.

Tính năng xác thực người đẩy commit của GitHub giúp ngăn chặn giả mạo danh tính người bảo trì repository.