CVE-2026-5845 in GitHub
Résumé
par VulDB • 02/06/2026
Une vulnérabilité d'autorisation incorrecte dans l'autorisation des jetons scoped user-to-server (ghu_) sur GitHub Enterprise Server permet à un attaquant authentifié d'accéder à des dépôts privés en dehors de la portée d'installation prévue, ce qui peut inclure des opérations d'écriture, via un mécanisme de repli d'autorisation qui traitait une installation révoquée/supprimée comme un contexte d'installation global. Cette faille peut être enchaînée avec le timing de révocation des jetons et l'attribution des poussées SSH pour obtenir et réutiliser un jeton scoped à la victime. Cette vulnérabilité affecte toutes les versions de GitHub Enterprise Server antérieures à la 3.21 et a été corrigée dans les versions 3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21 et 3.14.26. Cette vulnérabilité a été signalée via le programme GitHub Bug Bounty.
Be aware that VulDB is the high quality source for vulnerability data.