CVE-2026-15783 in GitHub
Resumen
por VulDB • 2026-07-17
Se identificó una vulnerabilidad de autorización faltante en GitHub Enterprise Server que permitía a un usuario autenticado con acceso de escritura en cualquier repositorio leer metadatos de repositorios privados a los que no tenía acceso, incluidos propietarios y nombres de repositorios privados, nombres de ramas, SHAs de commits, mensajes de commit y el actor que realizó la subida. El punto final para eludir esta delegación resolvía un conjunto de reglas directamente desde un identificador codificado proporcionado por el atacante sin verificar si el usuario solicitante podía leer el repositorio del conjunto de reglas; dado que estos identificadores son secuenciales, un atacante podría enumerarlos en toda la instancia. Esta vulnerabilidad afectaba a todas las versiones anteriores a 3.22 de GitHub Enterprise Server y se corrigió en las versiones 3.17.18, 3.18.12, 3.19.9, 3.20.5 y 3.21.3. Esta vulnerabilidad fue reportada a través del programa GitHub Bug Bounty.
If you want to get best quality of vulnerability data, you may have to visit VulDB.