Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] GitHub Enterprise Server opravuje 6 zranitelností

GitHub verzemi 3.21, 3.20.1, 3.19.5, 3.18.8, 3.17.14, 3.16.17, 3.15.21 a 3.14.26 opravuje 6 zranitelností v produktu GitHub Enterprise Server [1][2][3][4][5][6].

GitHub Enterprise Server - improper authorization (CVE-2026-5845)
CVSS 7.2 (High)

Autentizovanému lokálnímu útočníkovi je v rámci mechanismu autorizace uživatelských tokenů umožněno získat neoprávněný přístup k soukromým repozitářům včetně možnosti v nich provádět zápis nad rámec přidělených oprávnění [1].

Zranitelnost se nachází v produktu:

  • GitHub Enterprise Server; >=3.20.0, < 3.20.1; >=3.19.0, <3.19.5; >=3.18.0, <3.18.8; >=3.17.0, <3.17.14; >=3.16.0, <3.16.17; >=3.15.0, <3.15.21; >=3.14.0, <3.14.26

CVSS: CVSS:4.0/AV:L/AC:L/AT:P/PR:L/UI:N/VC:H/VI:H/VA:N/SC:L/SI:L/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 21. 4. 2026.

GitHub Enterprise Server - SSRF (CVE-2026-5921)
CVSS 8.9 (High)

Neautentizovanému vzdálenému útočníkovi je při vypnutém soukromém režimu umožněno provést SSRF útok v kombinaci s útokem přes postranní časový kanál a neoprávněně extrahovat citlivé proměnné prostředí z interních služeb instance [2].

Zranitelnost se nachází v produktu:

  • GitHub Enterprise Server; >= 3.14.0, < 3.14.26; >= 3.15.0, < 3.15.21; >= 3.16.0, < 3.16.17; >= 3.17.0, < 3.17.14; >= 3.18.0, < 3.18.8; >= 3.19.0, < 3.19.5; >= 3.20.0, < 3.20.1

CVSS: CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:L/SC:H/SI:H/SA:L/E:P

Více informací:

Zranitelnost byla veřejně oznámena 21. 4. 2026.

GitHub Enterprise Server - command injection (CVE-2026-4821)
CVSS 8.1 (High)

Autentizovanému lokálnímu útočníkovi s oprávněními administrátora Management Console je umožněno spouštět libovolné příkazy v operačním systému serveru vložením speciálních shell metaznaků do polí pro nastavení proxy [3].

Zranitelnost se nachází v produktu:

  • GitHub Enterprise Server; >= 3.14.0, < 3.14.26; >= 3.15.0, < 3.15.21; >= 3.16.0, < 3.16.17; >= 3.17.0, < 3.17.14; >= 3.18.0, < 3.18.8; >= 3.19.0, < 3.19.5; >= 3.20.0, < 3.20.1

CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:H/UI:N/VC:N/VI:H/VA:N/SC:N/SI:H/SA:N

Více informací:

  • CVE-2026-4821 na cve.org, NVD
  • CWE-78: Improper neutralization of special elements used in an OS command ('OS command injection') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 21. 4. 2026.

Za CESNET, z.s.p.o. Henrieta Paločková dne 7. 5. 2026.

CESNET, z.s.p.o. Logo