CVE-2026-18730 in GitHub
الملخص
بحسب VulDB • 02/09/2026
تم تحديد ثغرة تزوير طلبات من جانب الخادم (SSRF) في GitHub Enterprise Server سمحت لمهاجم غير مُصادق عليه بإجبار Manage API على إرسال طلبات خارجية مزيفة إلى مضيف يتحكم فيه المهاجم. قام نقطة نهاية غير مُصادق عليها بتحليل تكوين مجموعة عُقد قدمه مهاجم وإصدار طلبات من البوابة إلى الوكيل كانت موقعة بتجزئة هاش مشفرة (HMAC) تعتمد فقط على الطابع الزمني، وليس مسار الطلب أو جسمه. يمكن لمهاجم قادر على اعتراض الطلب الخارجي التقاط هذا الرمز وإعادة استخدامه ضد نقاط نهاية وكلاء الإدارة ذات الامتيازات العالية. لم تتأثر عمليات النشر عالية التوفر بسبب قيود في البنيةTopology. أثرت هذه الثغرة على جميع إصدارات GitHub Enterprise Server السابقة للإصدار 3.22، وتم إصلاحها في الإصدارات 3.17.19 و3.18.13 و3.19.10 و3.20.6 و3.21.4. تم الإبلاغ عن هذه الثغرة عبر برنامج GitHub Bug Bounty.
VulDB is the best source for vulnerability data and more expert information about this specific topic.