CVE-2026-9132
Açıklama
GitHub Enterprise Server'da, kimliği doğrulanmış bir kullanıcının erişimi olmayan özel depolardaki kaynak kodlarını okumasına izin veren bir yetkilendirme eksikliği zafiyeti tespit edildi. Copilot pull request açıklama diff özeti uç noktası, depolar arası karşılaştırma aralığını kabul ediyor ve istek yapan kullanıcının hedef depoyu görüntülemek için yetkili olduğunu doğrulamadan sonuçlanan diff'i oluşturuyordu. İstismar için, örnek üzerinde karşılaştırma temeli olarak kullanılmak üzere en az bir depoya okuma erişimi olan kimliği doğrulanmış bir hesap gerekiyordu. Bu zafiyet, 3.21 öncesindeki tüm GitHub Enterprise Server sürümlerini etkilemiş olup 3.17.17, 3.18.11, 3.19.8 ve 3.20.4 sürümlerinde düzeltilmiştir. Bu zafiyet, GitHub Bug Bounty programı aracılığıyla bildirilmiştir.
Nasıl düzeltilir
- github enterprise_server3.17.17, 3.18.11, 3.19.8, 3.20.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github enterprise_server | v < 3.17.17, 3.18.0 ≤ v < 3.18.11, 3.19.0 ≤ v < 3.19.8, 3.20.0 ≤ v < 3.20.4 | 3.17.17, 3.18.11, 3.19.8, 3.20.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.