CVE-2026-7541
WysokieStreszczenie
Zidentyfikowano podatność typu denial of service w GitHub Enterprise Server, która pozwalała nieautoryzowanemu atakującemu na zakłócenie działania usługi poprzez wysyłanie spreparowanych żądań z głęboko zagnieżdżonymi ładunkami JSON do nieautoryzowanego punktu API. Punkt ten analizował ciała żądań JSON kontrolowane przez użytkownika bez ograniczeń rozmiaru lub głębokości.
Ocena ryzyka
Podatność ta może prowadzić do nadmiernego zużycia CPU i pamięci, co skutkuje przerwami w dostępności usługi. Dotyczy to wszystkich wersji GitHub Enterprise Server przed 3.21.
Rekomendacja
Zaleca się aktualizację do wersji 3.20.2, 3.19.6, 3.18.9, 3.17.15 lub 3.16.18, aby usunąć tę podatność. Należy również monitorować ruch do punktów API w celu wykrywania potencjalnych ataków.
Inne podatności w GitHub Enterprise Server
Zobacz wszystkie- CVE-2026-17556Krytyczne
GitHub Enterprise Server przed wersją 3.22 ma podatność path traversal, która pozwala nieuwierzytelnionemu atakującemu na usunięcie dowolnych plików i katalogów na instancji, w tym całego katalogu przechowywania użytkowników z obiektami Git LFS, zasobami wydań, załącznikami i awatarami. Wykorzystanie nagłówka X-GitHub-Request-Id bez sanityzacji jako ścieżki w systemie plików prowadzi do usunięcia danych.
- CVE-2026-9312Wysokie
GitHub Enterprise Server przed wersją 3.22 zawiera podatność SSRF w punkcie końcowym przesyłania plików, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie spreparowanych żądań do wewnętrznych usług. Poprzez wstrzyknięcie ścieżki traversal w parametrach żądania można ominąć zamierzony przepływ i przekierować wewnętrzne wywołania API.
- CVE-2026-15996Wysokie
GitHub Enterprise Server przed wersją 3.21 zawiera podatność na atak DoS, która pozwala nieuwierzytelnionemu atakującemu na spowodowanie nadmiernego zużycia CPU i wyczerpania puli procesów roboczych poprzez wysłanie specjalnie spreparowanego żądania HTTP POST z głęboko zagnieżdżonymi parametrami. Podatność została naprawiona w wersjach 3.20.3, 3.19.7, 3.18.10 i 3.17.16.
- CVE-2026-15783Średnie
W GitHub Enterprise Server wykryto brak autoryzacji, który pozwalał uwierzytelnionemu użytkownikowi z prawem zapisu do dowolnego repozytorium na odczyt metadanych z prywatnych repozytoriów, do których nie miał dostępu. Luka umożliwiała enumerację identyfikatorów reguł i ujawnienie nazw repozytoriów, gałęzi, identyfikatorów commitów, ich komunikatów oraz autora pusha.
- CVE-2026-15343Wysokie
W GitHub Enterprise Server wykryto podatność polegającą na przechodzeniu poza katalog (path traversal) w kontenerze Dependabot updater. Atakujący z możliwością wykonania kodu w tym kontenerze mógł zapisywać pliki w dowolnych ścieżkach repozytorium, w tym w plikach przepływów pracy GitHub Actions, co mogło prowadzić do kradzieży sekretów.
- CVE-2026-15007Średnie
Podatność typu odmowa usługi (DoS) w GitHub Enterprise Server umożliwiała uwierzytelnionemu użytkownikowi zakłócenie działania instancji poprzez dostarczenie pliku konfiguracyjnego notatek wydania zawierającego głęboko zagnieżdżony YAML. Podczas generowania notatek wydania plik był analizowany bez ograniczenia głębokości zagnieżdżenia, co prowadziło do nadmiernego zużycia zasobów i unieruchomienia instancji.
- CVE-2026-14340Średnie
W GitHub Enterprise Server wykryto podatność nieprawidłowej autoryzacji, która umożliwiała tokenowi użytkownika dla aplikacji GitHub App wykonywanie operacji zapisu na publicznych repozytoriach poza zamierzonym zakresem. Atakujący mógł wykorzystać skradziony token do tworzenia zgłoszeń, komentarzy i prywatnych raportów o podatnościach, podszywając się pod ofiarę.
- CVE-2026-10585Średnie
W GitHub Enterprise Server wykryto podatność na trwały atak XSS, umożliwiającą uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez wstrzyknięcie złośliwego ładunku w tytuł dyskusji w kategorii Q&A. Komponent AnsweredQuestionStructuredDataComponent nie odpowiednio kodował tytułów dyskusji przed umieszczeniem ich w bloku <script type="application/ld+json">, co pozwalało na wyrwanie się z kontekstu skryptu. Atak został eskalowany do pełnego XSS dzięki wykorzystaniu wsparcia JSONP w REST API do obejścia Content Security Policy.
- CVE-2026-9132Średnie
W GitHub Enterprise Server wykryto brak autoryzacji w punkcie końcowym podsumowania różnic opisu pull requesta Copilota. Uwierzytelniony użytkownik mógł odczytać kod źródłowy z prywatnych repozytoriów, do których nie miał dostępu, poprzez podanie zakresu porównania między repozytoriami. Luka dotyczy wszystkich wersji przed 3.21 i została naprawiona w wersjach 3.17.17, 3.18.11, 3.19.8 oraz 3.20.4.
- CVE-2026-9106Średnie
Podatność w GitHub Enterprise Server umożliwiała aplikacji OAuth uzyskanie nieautoryzowanego dostępu do zarządzania runnerami organizacji. Problem wynikał z braku wyświetlania zakresu manage_runners:org na ekranie zgody autoryzacji, co mogło zostać wykorzystane przez atakującego do skłonienia użytkownika do autoryzacji złośliwej aplikacji.
Oryginalny opis (angielski, źródło NVD)
A denial of service vulnerability was identified in GitHub Enterprise Server that allowed an unauthenticated attacker to cause service disruption by sending crafted requests with deeply nested JSON payloads to an unauthenticated API endpoint. The endpoint parsed user-controlled JSON request bodies without size or depth limits, causing excessive CPU and memory consumption. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.21 and was fixed in versions 3.20.2, 3.19.6, 3.18.9, 3.17.15, and 3.16.18. This vulnerability was reported via the GitHub Bug Bounty program.