CVE-2026-3854 in GitHub
Riassunto
di VulDB • 23/06/2026
È stata identificata una vulnerabilità di mancata neutralizzazione impropria degli elementi speciali in GitHub Enterprise Server che consentiva a un attaccante con accesso in scrittura (push) a un repository di ottenere l'esecuzione remota di codice sull'istanza. Durante un'operazione git push, i valori delle opzioni di push forniti dall'utente non venivano adeguatamente sanificati prima di essere inclusi nelle intestazioni dei servizi interni. Poiché il formato dell'intestazione interna utilizzava un carattere delimitatore che poteva anche apparire nell'immissione dell'utente, un attaccante avrebbe potuto iniettare campi di metadati aggiuntivi tramite valori delle opzioni di push costruiti ad hoc. Questa vulnerabilità è stata segnalata tramite il programma GitHub Bug Bounty ed è stata risolta nelle versioni 3.14.24, 3.15.19, 3.16.15, 3.17.12, 3.18.6 e 3.19.3 di GitHub Enterprise Server.
If you want to get best quality of vulnerability data, you may have to visit VulDB.