Tento report byl přeložen pomocí AI; překlad zatím nikdo nezkontroloval. Původní jazyk: slovenština.

[TLP:CLEAR] GitHub Enterprise Server opravuje 2 zranitelnosti

GitHub verzemi 3.21.2, 3.20.4, 3.19.8, 3.18.11, 3.17.17, 3.16.20 opravuje 2 zranitelnosti v produktu GitHub Enterprise Server [1][2].

GitHub Enterprise Server - XSS (CVE-2026-10585)
CVSS 6.3 (Medium)

Autentizovanému vzdálenému útočníkovi je v nadpisu diskuse v kategorii Q&A umožněno provést stored XSS útok [1].

Zranitelnost se nachází v produktu:

  • GitHub Enterprise Server; >=3.21.0, <3.21.2; >=3.20.0, <3.20.4; >=3.19.0, <3.19.8; >=3.18.0, <3.18.11; >=3.17.0, <3.17.17; >=3.16.0, <3.16.20;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:P/VC:L/VI:L/VA:N/SC:H/SI:H/SA:N

Více informací:

  • CVE-2026-10585 na cve.org, NVD
  • CWE-79: Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') na cwe.mitre.org

Zranitelnost byla veřejně oznámena 1. 7. 2026.

GitHub Enterprise Server - nesprávná kontrola přístupu (CVE-2026-14340)
CVSS 5.3 (Medium)

Autentizovanému vzdálenému útočníkovi s přístupovým tokenem vázaným na instalaci GitHub App je umožněno neoprávněně vytvářet obsah (jako např. "issues" a "comments") v libovolných veřejných repozitářích mimo rozsah povolených přístupů tokenu [2].

Zranitelnost se nachází v produktu:

  • GitHub Enterprise Server; >=3.21.0, <3.21.2; >=3.20.0, <3.20.4; >=3.19.0, <3.19.8; >=3.18.0, <3.18.11; >=3.17.0, <3.17.17; >=3.16.0, <3.16.20;

CVSS: CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

Více informací:

Zranitelnost byla veřejně oznámena 1. 7. 2026.

Za CESNET, z.s.p.o. Martin Krajči dne 2. 7. 2026.

CESNET, z.s.p.o. Logo