CVE-2021-22866

GitHub Enterprise Server-də UI-nin yanlış təqdim edilməsi zəifliyi aşkar edilmişdir ki, bu da GitHub App-in istifadəçi avtorizasiyası veb axını zamanı istifadəçiyə təsdiq mərhələsində göstəriləndən daha çox icazənin verilməsinə imkan yaradırdı. Bu zəiflikdən istifadə etmək üçün hücumçu instansiyada GitHub App yaratmalı və istifadəçinin tətbiqi veb autentifikasiya axını vasitəsilə avtorizasiya etməsini təmin etməli idi. Verilən bütün icazələr ilk avtorizasiya zamanı düzgün şəkildə göstərilirdi, lakin müəyyən hallarda, əgər istifadəçi GitHub App əlavə istifadəçi səviyyəli icazələr konfiqurasiya etdikdən sonra avtorizasiya axınına yenidən baxarsa, bu əlavə icazələr göstərilməyə bilər və nəticədə istifadəçinin potensial olaraq nəzərdə tutduğundan daha çox icazə verilə bilər. Bu zəiflik GitHub Enterprise Server 3.0.7-dən əvvəlki 3.0.x və 2.22.13-dən əvvəlki 2.22.x versiyalarına təsir edirdi. 3.0.7 və 2.22.13 versiyalarında düzəldilmişdir. Bu zəiflik GitHub Bug Bounty proqramı vasitəsilə bildirilmişdir.