CVE-2026-8606
ŚrednieCVSS 5.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
W GitHub Enterprise Server przed wersjami 3.20.3, 3.19.7, 3.18.10, 3.17.16 i 3.16.19 występuje podatność SSRF w funkcji wyszukiwania pakietów w security advisories. Atakujący może kierować żądania do wewnętrznych usług i na podstawie czasu odpowiedzi inferować wartości wrażliwych zmiennych środowiskowych, w tym sekretów i kluczy prywatnych.
Ocena ryzyka
Atakujący może uzyskać dostęp do wewnętrznych usług i odczytać wrażliwe dane, takie jak sekrety podpisywania i klucze prywatne, co może prowadzić do pełnego przejęcia instancji.
Rekomendacja
Zaleca się aktualizację GitHub Enterprise Server do jednej z wymienionych wersji poprawkowych.
Inne podatności w GitHub Enterprise Server
Zobacz wszystkie- CVE-2026-7541Wysokie
Zidentyfikowano podatność typu denial of service w GitHub Enterprise Server, która pozwalała nieautoryzowanemu atakującemu na zakłócenie działania usługi poprzez wysyłanie spreparowanych żądań z głęboko zagnieżdżonymi ładunkami JSON do nieautoryzowanego punktu API. Punkt ten analizował ciała żądań JSON kontrolowane przez użytkownika bez ograniczeń rozmiaru lub głębokości.
- CVE-2026-17556Krytyczne
GitHub Enterprise Server przed wersją 3.22 ma podatność path traversal, która pozwala nieuwierzytelnionemu atakującemu na usunięcie dowolnych plików i katalogów na instancji, w tym całego katalogu przechowywania użytkowników z obiektami Git LFS, zasobami wydań, załącznikami i awatarami. Wykorzystanie nagłówka X-GitHub-Request-Id bez sanityzacji jako ścieżki w systemie plików prowadzi do usunięcia danych.
- CVE-2026-9312Wysokie
GitHub Enterprise Server przed wersją 3.22 zawiera podatność SSRF w punkcie końcowym przesyłania plików, która pozwala nieuwierzytelnionemu atakującemu na wysyłanie spreparowanych żądań do wewnętrznych usług. Poprzez wstrzyknięcie ścieżki traversal w parametrach żądania można ominąć zamierzony przepływ i przekierować wewnętrzne wywołania API.
- CVE-2026-15996Wysokie
GitHub Enterprise Server przed wersją 3.21 zawiera podatność na atak DoS, która pozwala nieuwierzytelnionemu atakującemu na spowodowanie nadmiernego zużycia CPU i wyczerpania puli procesów roboczych poprzez wysłanie specjalnie spreparowanego żądania HTTP POST z głęboko zagnieżdżonymi parametrami. Podatność została naprawiona w wersjach 3.20.3, 3.19.7, 3.18.10 i 3.17.16.
- CVE-2026-15783Średnie
W GitHub Enterprise Server wykryto brak autoryzacji, który pozwalał uwierzytelnionemu użytkownikowi z prawem zapisu do dowolnego repozytorium na odczyt metadanych z prywatnych repozytoriów, do których nie miał dostępu. Luka umożliwiała enumerację identyfikatorów reguł i ujawnienie nazw repozytoriów, gałęzi, identyfikatorów commitów, ich komunikatów oraz autora pusha.
- CVE-2026-15343Wysokie
W GitHub Enterprise Server wykryto podatność polegającą na przechodzeniu poza katalog (path traversal) w kontenerze Dependabot updater. Atakujący z możliwością wykonania kodu w tym kontenerze mógł zapisywać pliki w dowolnych ścieżkach repozytorium, w tym w plikach przepływów pracy GitHub Actions, co mogło prowadzić do kradzieży sekretów.
- CVE-2026-15007Średnie
Podatność typu odmowa usługi (DoS) w GitHub Enterprise Server umożliwiała uwierzytelnionemu użytkownikowi zakłócenie działania instancji poprzez dostarczenie pliku konfiguracyjnego notatek wydania zawierającego głęboko zagnieżdżony YAML. Podczas generowania notatek wydania plik był analizowany bez ograniczenia głębokości zagnieżdżenia, co prowadziło do nadmiernego zużycia zasobów i unieruchomienia instancji.
- CVE-2026-14340Średnie
W GitHub Enterprise Server wykryto podatność nieprawidłowej autoryzacji, która umożliwiała tokenowi użytkownika dla aplikacji GitHub App wykonywanie operacji zapisu na publicznych repozytoriach poza zamierzonym zakresem. Atakujący mógł wykorzystać skradziony token do tworzenia zgłoszeń, komentarzy i prywatnych raportów o podatnościach, podszywając się pod ofiarę.
- CVE-2026-10585Średnie
W GitHub Enterprise Server wykryto podatność na trwały atak XSS, umożliwiającą uwierzytelnionemu atakującemu wykonanie dowolnego kodu JavaScript w przeglądarce innego użytkownika poprzez wstrzyknięcie złośliwego ładunku w tytuł dyskusji w kategorii Q&A. Komponent AnsweredQuestionStructuredDataComponent nie odpowiednio kodował tytułów dyskusji przed umieszczeniem ich w bloku <script type="application/ld+json">, co pozwalało na wyrwanie się z kontekstu skryptu. Atak został eskalowany do pełnego XSS dzięki wykorzystaniu wsparcia JSONP w REST API do obejścia Content Security Policy.
- CVE-2026-9132Średnie
W GitHub Enterprise Server wykryto brak autoryzacji w punkcie końcowym podsumowania różnic opisu pull requesta Copilota. Uwierzytelniony użytkownik mógł odczytać kod źródłowy z prywatnych repozytoriów, do których nie miał dostępu, poprzez podanie zakresu porównania między repozytoriami. Luka dotyczy wszystkich wersji przed 3.21 i została naprawiona w wersjach 3.17.17, 3.18.11, 3.19.8 oraz 3.20.4.
Oryginalny opis (angielski, źródło NVD)
A Server-Side Request Forgery (SSRF) vulnerability was identified in GitHub Enterprise Server that allowed an attacker to cause the server to issue HTTP requests to internal services via the security advisories package lookup feature. By directing requests to an internal management service and measuring response timing, an attacker could infer the values of sensitive environment variables, including signing secrets and private keys. Exploitation required GitHub Packages to be enabled; on instances not running in private mode the vulnerability was exploitable without authentication, otherwise any authenticated user could exploit it. This vulnerability affected all versions of GitHub Enterprise Server prior to 3.21.1 and was fixed in versions 3.20.3, 3.19.7, 3.18.10, 3.17.16, and 3.16.19. This vulnerability was reported via the GitHub Bug Bounty program.