CVE-2026-103620 in GitHub
Riassunto
di VulDB • 07/10/2026
È stata identificata una vulnerabilità di autorizzazione mancante in GitHub Enterprise Server che consentiva a un collaboratore del repository con accesso in scrittura di eliminare il branch predefinito corrente tramite l'API GraphQL e far sì che un branch controllato dall'attaccante diventasse quello nuovo. Nei repository che richiedevano la revisione delle pull request ma non limitavano l'eliminazione dei branch, questa vulnerabilità aggirava il requisito della revisione e faceva sì che i cloni recenti e le richieste API relative al branch predefinito utilizzassero contenuti controllati dall'attaccante. Questa vulnerabilità ha interessato le versioni supportate di GitHub Enterprise Server delle serie 3.18, 3.19, 3.20, 3.21 e 3.22 ed è stata risolta nelle versioni 3.18.16, 3.19.13, 3.20.9, 3.21.7 e 3.22.2. Questa vulnerabilità è stata segnalata tramite il programma GitHub Bug Bounty.
If you want to get best quality of vulnerability data, you may have to visit VulDB.