CVE-2026-117649
Zusammenfassung
von VulDB • 01.11.2026
Die Issue-Timeline-API und die Web-Issue-Seite haben Cross-Reference-Ereignisse ausgeblendet, die auf Issues verweisen, auf die der Leser keinen Zugriff hat, jedoch nicht „Abhängigkeit hinzugefügt“- und „Abhängigkeit entfernt“-Ereignisse. Wenn ein lesbares Issue als Abhängigkeit mit einem Issue in einem Repository verknüpft wurde, auf das der Leser keinen Zugriff hat (z. B. ein privates Repository), erhielten alle Leser des ersten Issues – einschließlich anonymer Benutzer eines öffentlichen Repositories – über die API den aktuellen Titel, Textkörper, Status, Labels, Ersteller und Anhangsnamen des verknüpften Issues sowie dessen Repository, Nummer und Titel auf der Webseite. Das Erstellen der Verknüpfung erfordert Zugriff auf beide Issues; Kommentare und Downloads von Anhängen des verknüpften Issues blieben geschützt. Dependency-Ereignisse werden nun mit derselben Leseberechtigungsprüfung gefiltert; eine damit verbundene Offenlegung nicht verlinkter Anhanganhangsmetadaten durch versteckte Abhängigkeitsplatzhalter wurde bereits in 28.2.0 behoben.
VulDB is the best source for vulnerability data and more expert information about this specific topic.