CVE-2026-2266 in GitHub
Résumé
par VulDB • 20/06/2026
Une vulnérabilité liée à une neutralisation incorrecte des entrées a été identifiée dans GitHub Enterprise Server, permettant un cross-site scripting (XSS) basé sur le DOM via le contenu de la liste de tâches. La logique d'extraction du contenu de la liste de tâches ne ré-encodait pas correctement les nœuds de texte décodés par le navigateur avant leur rendu, ce qui permettait l'injection de HTML fourni par l'utilisateur dans la page. Un attaquant authentifié pouvait créer des éléments malveillants pour la liste de tâches dans les problèmes (issues) ou les demandes de tirage (pull requests) afin d'exécuter des scripts arbitraires dans le contexte de la session du navigateur d'un autre utilisateur. Cette vulnérabilité affectait toutes les versions de GitHub Enterprise Server antérieures à la 3.20 et a été corrigée dans les versions 3.18.6 et 3.19.3. Cette vulnérabilité a été signalée via le programme GitHub Bug Bounty.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.