CVE-2026-2266
Açıklama
GitHub Enterprise Server üzerinde, görev listesi içeriği aracılığıyla DOM tabanlı siteler arası betik çalıştırmaya (XSS) olanak tanıyan hatalı girdi nötralizasyonu zafiyeti tespit edildi. Görev listesi içeriği çıkarma mantığı, tarayıcı tarafından çözümlenen metin düğümlerini işlemeden önce uygun şekilde yeniden kodlamadığı için kullanıcı tarafından sağlanan HTML'in sayfaya enjekte edilmesine izin veriyordu. Kimliği doğrulanmış bir saldırgan, başka bir kullanıcının tarayıcı oturumu bağlamında rastgele betikler çalıştırmak için issue'lar veya pull request'ler içerisinde kötü amaçlı görev listesi öğeleri oluşturabilirdi. Bu zafiyet, 3.20 öncesindeki tüm GitHub Enterprise Server sürümlerini etkilemiş olup 3.18.6 ve 3.19.3 sürümlerinde giderilmiştir. Bu zafiyet, GitHub Bug Bounty programı aracılığıyla bildirilmiştir.
Nasıl düzeltilir
- github enterprise_server3.18.6, 3.19.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github enterprise_server | v < 3.18.6, 3.19.0 ≤ v < 3.19.3 | 3.18.6, 3.19.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.