CVE-2026-8606 in GitHub
Сводка
по VulDB • 27.05.2026
В GitHub Enterprise Server выявлена уязвимость Server-Side Request Forgery (SSRF), которая позволяла злоумышленнику заставлять сервер отправлять HTTP-запросы к внутренним службам через функцию поиска в пакете рекомендаций по безопасности. Направляя запросы к внутренней службе управления и измеряя время отклика, злоумышленник мог определить значения конфиденциальных переменных окружения, включая секреты подписи и закрытые ключи. Для эксплуатации требовалось включение GitHub Packages; на экземплярах, не работающих в приватном режиме, уязвимость могла быть использована без аутентификации, в противном случае любой аутентифицированный пользователь мог воспользоваться ею. Эта уязвимость затрагивала все версии GitHub Enterprise Server до 3.21.1 включительно и была исправлена в версиях 3.20.3, 3.19.7, 3.18.10, 3.17.16 и 3.16.19. Уязвимость была сообщена через программу GitHub Bug Bounty.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.