CVE-2026-15007
ŚrednieCVSS 5.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 19 - wyżej niż 19% wszystkich znanych CVE
Streszczenie
Podatność typu odmowa usługi (DoS) w GitHub Enterprise Server umożliwiała uwierzytelnionemu użytkownikowi zakłócenie działania instancji poprzez dostarczenie pliku konfiguracyjnego notatek wydania zawierającego głęboko zagnieżdżony YAML. Podczas generowania notatek wydania plik był analizowany bez ograniczenia głębokości zagnieżdżenia, co prowadziło do nadmiernego zużycia zasobów i unieruchomienia instancji.
Ocena ryzyka
Ryzyko polega na możliwości przeprowadzenia ataku DoS przez uwierzytelnionego użytkownika, co może skutkować niedostępnością usługi GitHub Enterprise Server dla wszystkich użytkowników organizacji, zakłócając pracę zespołów programistycznych i procesy CI/CD.
Rekomendacja
Należy niezwłocznie zaktualizować GitHub Enterprise Server do jednej z załatanych wersji: 3.17.18, 3.18.12, 3.19.9, 3.20.5 lub 3.21.3. Jeśli aktualizacja nie jest możliwa, należy ograniczyć dostęp do funkcji generowania notatek wydania dla zaufanych użytkowników.
Inne podatności w GitHub Enterprise Server
Zobacz wszystkie- CVE-2026-7541Wysokie
Zidentyfikowano podatność typu denial of service w GitHub Enterprise Server, która pozwalała nieautoryzowanemu atakującemu na zakłócenie działania usługi poprzez wysyłanie spreparowanych żądań z głęboko zagnieżdżonymi ładunkami JSON do nieautoryzowanego punktu API. Punkt ten analizował ciała żądań JSON kontrolowane przez użytkownika bez ograniczeń rozmiaru lub głębokości.
- CVE-2026-17556Krytyczne
GitHub Enterprise Server przed wersją 3.22 ma podatność path traversal, która pozwala nieuwierzytelnionemu atakującemu na usunięcie dowolnych plików i katalogów na instancji, w tym całego katalogu przechowywania użytkowników z obiektami Git LFS, zasobami wydań, załącznikami i awatarami. Wykorzystanie nagłówka X-GitHub-Request-Id bez sanityzacji jako ścieżki w systemie plików prowadzi do usunięcia danych.
- CVE-2026-9312Wysokie
GitHub Enterprise Server przed wersją 3.22 zawiera podatność SSRF w punkcie końcowym przesyłania plików, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie spreparowanych żądań do wewnętrznych usług. Poprzez wstrzyknięcie ścieżki traversal w parametrach żądania można ominąć zamierzony przepływ i przekierować wewnętrzne wywołania API.
- CVE-2026-15996Wysokie
GitHub Enterprise Server przed wersją 3.21 zawiera podatność na atak DoS, która pozwala nieuwierzytelnionemu atakującemu na spowodowanie nadmiernego zużycia CPU i wyczerpania puli procesów roboczych poprzez wysłanie specjalnie spreparowanego żądania HTTP POST z głęboko zagnieżdżonymi parametrami. Podatność została naprawiona w wersjach 3.20.3, 3.19.7, 3.18.10 i 3.17.16.
- CVE-2026-15783Średnie
W GitHub Enterprise Server wykryto brak autoryzacji, który pozwalał uwierzytelnionemu użytkownikowi z prawem zapisu do dowolnego repozytorium na odczyt metadanych z prywatnych repozytoriów, do których nie miał dostępu. Luka umożliwiała enumerację identyfikatorów reguł i ujawnienie nazw repozytoriów, gałęzi, identyfikatorów commitów, ich komunikatów oraz autora pusha.
- CVE-2026-15343Wysokie
W GitHub Enterprise Server wykryto podatność polegającą na przechodzeniu poza katalog (path traversal) w kontenerze Dependabot updater. Atakujący z możliwością wykonania kodu w tym kontenerze mógł zapisywać pliki w dowolnych ścieżkach repozytorium, w tym w plikach przepływów pracy GitHub Actions, co mogło prowadzić do kradzieży sekretów.
- CVE-2026-14340Średnie
W GitHub Enterprise Server wykryto podatność nieprawidłowej autoryzacji, która umożliwiała tokenowi użytkownika dla aplikacji GitHub App wykonywanie operacji zapisu na publicznych repozytoriach poza zamierzonym zakresem. Atakujący mógł wykorzystać skradziony token do tworzenia zgłoszeń, komentarzy i prywatnych raportów o podatnościach, podszywając się pod ofiarę.
- CVE-2026-10585Średnie
W GitHub Enterprise Server wykryto podatność na trwały atak XSS, umożliwiającą uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez wstrzyknięcie złośliwego ładunku w tytuł dyskusji w kategorii Q&A. Komponent AnsweredQuestionStructuredDataComponent nie odpowiednio kodował tytułów dyskusji przed umieszczeniem ich w bloku <script type="application/ld+json">, co pozwalało na wyrwanie się z kontekstu skryptu. Atak został eskalowany do pełnego XSS dzięki wykorzystaniu wsparcia JSONP w REST API do obejścia Content Security Policy.
- CVE-2026-9132Średnie
W GitHub Enterprise Server wykryto brak autoryzacji w punkcie końcowym podsumowania różnic opisu pull requesta Copilota. Uwierzytelniony użytkownik mógł odczytać kod źródłowy z prywatnych repozytoriów, do których nie miał dostępu, poprzez podanie zakresu porównania między repozytoriami. Luka dotyczy wszystkich wersji przed 3.21 i została naprawiona w wersjach 3.17.17, 3.18.11, 3.19.8 oraz 3.20.4.
- CVE-2026-9106Średnie
Podatność w GitHub Enterprise Server umożliwiała aplikacji OAuth uzyskanie nieautoryzowanego dostępu do zarządzania runnerami organizacji. Problem wynikał z braku wyświetlania zakresu manage_runners:org na ekranie zgody autoryzacji, co mogło zostać wykorzystane przez atakującego do skłonienia użytkownika do autoryzacji złośliwej aplikacji.
Oryginalny opis (angielski, źródło NVD)
A denial of service vulnerability was identified in GitHub Enterprise Server that allowed an authenticated user to cause service disruption by supplying a repository release notes configuration file containing deeply nested YAML. When release notes were generated, the configuration file was parsed without a nesting depth limit, causing excessive resource consumption that could render the instance unresponsive. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.22 and was fixed in versions 3.17.18, 3.18.12, 3.19.9, 3.20.5, and 3.21.3. This vulnerability was reported via the GitHub Bug Bounty program.