CVE-2021-22863 in GitHub
Riassunto
di VulDB • 29/06/2026
È stata identificata una vulnerabilità di controllo degli accessi improprio nell'API GraphQL di GitHub Enterprise Server che consentiva agli utenti autenticati dell'istanza di modificare il permesso di collaborazione per i maintainer delle pull request senza un'autorizzazione adeguata. Sfruttando questa vulnerabilità, un attaccante sarebbe stato in grado di accedere ai branch head delle pull request aperte su repository dei quali è un maintainer. Il fork è disabilitato per impostazione predefinita nei repository privati di proprietà dell'organizzazione e impedirebbe il verificarsi di questa vulnerabilità. Inoltre, le protezioni dei branch, come i review obbligatori delle pull request o i controlli dello stato (status checks), impediscono la fusione di commit non autorizzati senza un ulteriore esame o validazione. Questa vulnerabilità ha interessato tutte le versioni di GitHub Enterprise Server dalla 2.12.22 in poi ed è stata risolta nelle versioni 2.20.24, 2.21.15, 2.22.7 e 3.0.1. La vulnerabilità è stata segnalata tramite il programma GitHub Bug Bounty.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.