Authorization bypass in GitHub Enterprise Server secret scanning push protection allows cross-repository modification of delegated bypass reviewers

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• github enterprise serverдо 3.14.26
• github enterprise server3.15.0 и новее · до 3.15.21
• github enterprise server3.16.0 и новее · до 3.16.17
• github enterprise server3.17.0 и новее · до 3.17.14
• github enterprise server3.18.0 и новее · до 3.18.8
• github enterprise server3.19.0 и новее · до 3.19.5
• github enterprise server3.20.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (GitHub_P). Не зависят от анализа CPE в NVD и обычно опережают его.

• GitHub Enterprise Server

  • 3.14.0 и новее · до 3.14.24 включительнозатронута · semverисправлено в 3.14.25
  • 3.15.0 и новее · до 3.15.19 включительнозатронута · semverисправлено в 3.15.20
  • 3.16.0 и новее · до 3.16.15 включительнозатронута · semverисправлено в 3.16.16
  • 3.17.0 и новее · до 3.17.12 включительнозатронута · semverисправлено в 3.17.13
  • 3.18.0 и новее · до 3.18.6 включительнозатронута · semverисправлено в 3.18.7
  • 3.19.0 и новее · до 3.19.3 включительнозатронута · semverисправлено в 3.19.4
  • 3.20 и новее · до 3.20.0 включительнозатронута · semverисправлено в 3.20.1

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2024-0200Unsafe Reflection in Github Enterprise Server leading to Command Injection
  61На этой неделе
• CVE-2024-0507Privilege Escalation by Code Injection in the Management Console in GitHub Enterprise Server
  55В плане
• CVE-2024-9487An Improper Verification of Cryptographic Signature vulnerability was identified in GitHub Enterprise Server that allowed SAML SSO authentication to be bypassed
  46В плане

Опубликованы до и после этой записи в том же продукте

• ← РаньшеCVE-2026-226610 мар. 2026 г. · Improper neutralization of input vulnerability was identified in GitHub Enterprise Server that allowed cross-site scripting via task list content and enabled ar
  29Наблюдать
• ← РаньшеCVE-2026-358210 мар. 2026 г. · Incorrect Authorization in GitHub Enterprise Server allows access to issue and commit search results without repo scope
  21Наблюдать
• Позже →CVE-2026-429621 апр. 2026 г. · Incorrect Regular Expression vulnerability in GitHub Enterprise Server allowed unauthorized access to user accounts via OAuth callback URL validation bypass
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.