CVE-2026-5845
Açıklama
GitHub Enterprise Server'daki kapsamlı kullanıcıdan sunucuya (ghu_) belirteç yetkilendirmesindeki hatalı bir yetkilendirme zafiyeti, kimliği doğrulanmış bir saldırganın; iptal edilmiş veya silinmiş bir kurulumu küresel bir kurulum bağlamı olarak değerlendiren bir yetkilendirme geri dönüşü aracılığıyla, hedeflenen kurulum kapsamının dışındaki özel depolara erişmesine (yazma işlemleri dahil) olanak tanır. Bu durum, kurban kapsamlı bir belirteci elde etmek ve yeniden kullanmak için belirteç iptal zamanlaması ve SSH push ataması ile zincirlenebilir. Bu zafiyet, 3.21 öncesindeki tüm GitHub Enterprise Server sürümlerini etkilemiştir ve 3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21 ve 3.14.26 sürümlerinde düzeltilmiştir. Bu zafiyet, GitHub Bug Bounty programı aracılığıyla bildirilmiştir.
Nasıl düzeltilir
- github enterprise_server3.14.26, 3.15.21, 3.16.17, 3.17.14, 3.18.8, 3.19.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github enterprise_server | v < 3.14.26, 3.15.0 ≤ v < 3.15.21, 3.16.0 ≤ v < 3.16.17, 3.17.0 ≤ v < 3.17.14, 3.18.0 ≤ v < 3.18.8, 3.19.0 ≤ v < 3.19.5, 3.20.0 | 3.14.26, 3.15.21, 3.16.17, 3.17.14, 3.18.8, 3.19.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.