Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.
[TLP:CLEAR] GitHub Enterprise Server opravuje 4 zranitelnosti
GitHub verzemi 3.14.24, 3.15.19, 3.16.15, 3.17.12, 3.18.6 a 3.19.3 opravuje 4 zranitelnosti v produktu GitHub Enterprise Server [1][2][3][4].
Autentizovanému vzdálenému útočníkovi s oprávněním k zápisu do repozitáře (push access) je v důsledku nedostatečné kontroly vstupů umožněno spustit kód na instanci [1].
Zranitelnost se nachází v produktu:
- Github Enterprise Server Versions; <3.14.24; >=3.15.0, <3.15.19; >=3.16.0, <3.16.15; >=3.17.0, <3.17.12; >=3.18.0, <3.18.6; >=3.19.0, <3.19.3
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Více informací:
- CVE-2026-3854 na cve.org, NVD
- CWE-77: Improper Neutralization of Special Elements used in a Command ('Command Injection') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 3. 2026.
Autentizovanému vzdálenému útočníkovi je v důsledku nedostatečné kontroly obsahu v seznamech úkolů umožněno provést XSS útok v prohlížeči jiného uživatele [2].
Zranitelnost se nachází v produktu:
- Github Enterprise Server; <3.18.6; >=3.19.0, <3.19.3
CVSS: CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:P/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N
Více informací:
- CVE-2026-2266 na cve.org, NVD
- CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 3. 2026.
Autentizovanému vzdálenému útočníkovi s oprávněním ke čtení repozitáře je umožněno obejít proces ověřování a neoprávněně upravovat doprovodná data v požadavcích a návrzích na změny, které jsou součástí projektů [3].
Zranitelnost se nachází v produktu:
- Github Enterprise Server; <3.14.24; >=3.15.0, <3.15.19; >=3.16.0, <3.16.15; >=3.17.0, <3.17.12; >=3.18.0, <3.18.6; >=3.19.0, <3.19.3
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N
Více informací:
- CVE-2026-3306 na cve.org, NVD
- CWE-639: Authorization Bypass Through User-Controlled Key na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 3. 2026.
Autentizovanému vzdálenému útočníkovi je v důsledku ignorování nastavených omezení přístupových tokenů (PAT) v API rozhraní umožněno neoprávněně číst požadavky a historii změn v soukromých repozitářích [4].
Zranitelnost se nachází v produktu:
- Github Enterprise Server; <3.16.15; >=3.17.0, <3.17.12; >=3.18.0, <3.18.6; >=3.19.0, <3.19.3
CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N
Více informací:
- CVE-2026-3582 na cve.org, NVD
- CWE-862: Missing Authorization na cwe.mitre.org
Zranitelnost byla veřejně oznámena 10. 3. 2026.
Odkazy
Za CESNET, z.s.p.o. Henrieta Paločková dne 17. 3. 2026.