CVE-2021-22862 in GitHub
要約
〜によって VulDB • 2026年06月29日
GitHub Enterprise Serverにおいて、不適切なアクセス制御の脆弱性が特定されました。この脆弱性により、リポジトリをフォークする権限を持つ認証済みユーザーが、フォーク元の親リポジトリのActionsシークレットを開示することが可能でした。この脆弱性は、プルリクエストの基本参照（base reference）を、フォーク外のリポジトリにある任意のSHAまたは別のプルリポイントに更新できる欠陥が存在したことに起因します。PR内でこのような誤った参照を設定することで、フォークからのワークフローで送信されるActionsシークレットを制限する規制を回避することができました。この脆弱性はGitHub Enterprise Serverバージョン3.0.0、3.0.0.rc2、および3.0.0.rc1に影響を与えました。本脆弱性はGitHub Bug Bountyプログラムを通じて報告されました。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.