CVE-2021-22862 in GitHub
Résumé
par VulDB • 25/08/2026
Une vulnérabilité de contrôle d'accès incorrect a été identifiée dans GitHub Enterprise Server, permettant à un utilisateur authentifié disposant des droits pour forker un dépôt de divulguer les secrets Actions du dépôt parent du fork. Cette vulnérabilité était due à une faille qui permettait de mettre à jour la référence de base d'une pull request afin qu'elle pointe vers un SHA arbitraire ou une autre pull request en dehors du dépôt forké. En établissant cette référence incorrecte dans une PR, les restrictions limitant l'envoi des secrets Actions depuis les forks par un workflow ont pu être contournées. Cette vulnérabilité affectait GitHub Enterprise Server versions 3.0.0, 3.0.0.rc2 et 3.0.0.rc1. Cette vulnérabilité a été signalée via le programme GitHub Bug Bounty.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.