CVE-2026-15007
Açıklama
GitHub Enterprise Server'da, kimliği doğrulanmış bir kullanıcının derinlemesine iç içe geçmiş YAML içeren bir depo sürüm notları yapılandırma dosyası sağlayarak hizmet kesintisine yol açmasına izin veren bir hizmet reddi zafiyeti tespit edildi. Sürüm notları oluşturulduğunda, yapılandırma dosyası herhangi bir iç içe geçme derinliği sınırı olmaksızın ayrıştırılıyor ve bu durum örneği yanıt verilemez hale getirebilecek aşırı kaynak tüketimine neden oluyordu. Bu zafiyet, 3.22 öncesindeki tüm GitHub Enterprise Server sürümlerini etkiledi ve 3.17.18, 3.18.12, 3.19.9, 3.20.5 ve 3.21.3 sürümlerinde giderildi. Bu zafiyet, GitHub Bug Bounty programı aracılığıyla raporlanmıştır.
Nasıl düzeltilir
- docs.github.com/en/[email protected]/admin/release-notes#3.17.18
- docs.github.com/en/[email protected]/admin/release-notes#3.18.12
- docs.github.com/en/[email protected]/admin/release-notes#3.19.9
- docs.github.com/en/[email protected]/admin/release-notes#3.20.5
- docs.github.com/en/[email protected]/admin/release-notes#3.21.3
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| GitHub Enterprise Server | 3.17.0 ≤ v ≤ 3.17.17, 3.18.0 ≤ v ≤ 3.18.11, 3.19.0 ≤ v ≤ 3.19.8, 3.20.0 ≤ v ≤ 3.20.4, 3.21.0 ≤ v ≤ 3.21.2 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.