CVE-2026-8106

Orta

Açıklama

GitHub Enterprise Server Management Console giriş sayfasında, kimlik bilgileri hırsızlığına izin verebilecek yansıtılan bir HTML enjeksiyonu zafiyeti tespit edildi. /setup/unlock uç noktasındaki redirect_to sorgu parametresi, uygun temizleme işlemi yapılmadan bir HTML özniteliğine yansıtılmış ve bu durum saldırganın yönetici kimlik bilgilerini ele geçirebilecek bir form öğesi enjekte etmesine olanak tanımıştır. İstismar için bir yöneticinin hazırlanmış bir bağlantıya tıklaması ve kimlik bilgilerini girmesi gerekiyordu. Bu zafiyet, GitHub Enterprise Server 3.19.1 ile 3.19.5 ve 3.20.0 ile 3.20.1 arasındaki sürümleri etkilemiş olup 3.19.6 ve 3.20.2 sürümlerinde düzeltilmiştir. Bu zafiyet, GitHub Bug Bounty programı aracılığıyla bildirilmiştir.

ÖnemOrta

CVSS6.1

İstismar olasılığı—

ÜrünGithub Enterprise Server

Yayın7 May 2026

İlk görülme7 May 2026

Zayıflık türüCWE-79Siteler arası betik (XSS)

Nasıl düzeltilir

Güncelleyin

github enterprise_server3.19.6, 3.20.2 ya da sonraki bir sürüm

Üretici duyuruları

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
github enterprise_server	3.19.1 ≤ v < 3.19.6, 3.20.0 ≤ v < 3.20.2	3.19.6, 3.20.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.