PT-2026-43434 · Github · Github Enterprise Server

Ahacker1 · Publicado 2026-05-26 · Atualizado 2026-06-15 · CVE-2026-9312

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.2

Crítica

Vetor base

AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas GitHub Enterprise Server versões anteriores a 3.22

Description Um problema de server-side request forgery (SSRF) existe onde um invasor não autenticado pode enviar solicitações manipuladas para serviços internos devido à validação insuficiente de entrada em um endpoint de upload. Ao injetar conteúdo de path traversal em parâmetros de solicitação, um invasor pode ignorar o fluxo de solicitação pretendido e redirecionar chamadas de API internas, o que pode levar ao acesso a serviços internos e à exposição de credenciais confidenciais. SSRF é uma falha que permite que um invasor induza a aplicação do lado do servidor a fazer solicitações para um local não pretendido.

Recommendations Atualizar para a versão 3.16.20 Atualizar para a versão 3.17.17 Atualizar para a versão 3.18.11 Atualizar para a versão 3.19.8 Atualizar para a versão 3.20.4 Atualizar para a versão 3.21.1

Correção

LPE

SSRF

Enumeração de Fraquezas

CWE-918

Identificadores relacionados

BDU:2026-07906

CVE-2026-9312

Produtos afetados

Github Enterprise Server

Referências · 17

• https://twitter.com/ADKCyber/status/2059785563461292415 · Publicação no Twitter
• https://twitter.com/threadlinqs/status/2059661411526005161 · Publicação no Twitter
• https://bdu.fstec.ru/vul/2026-07906 · Nota de Segurança
• https://docs.github.com/en/enterprise-server@3.18/admin/release-notes#3.18.11 · Nota
• https://twitter.com/UndercodeUpdate/status/2060282429005255117 · Publicação no Twitter
• https://twitter.com/the_yellow_fall/status/2059454366357303596 · Publicação no Twitter
• https://t.me/cveNotify/165686 · Publicação no Telegram
• https://docs.github.com/en/enterprise-server@3.17/admin/release-notes#3.17.17 · Nota
• https://t.me/CVEtracker/55049 · Publicação no Telegram
• https://docs.github.com/en/enterprise-server@3.16/admin/release-notes#3.16.20 · Nota
• https://t.me/cveNotify/164769 · Publicação no Telegram
• https://docs.github.com/en/enterprise-server@3.20/admin/release-notes#3.20.4 · Nota
• https://twitter.com/UpwindMDR/status/2059515119680315834 · Publicação no Twitter
• https://docs.github.com/en/enterprise-server@3.19/admin/release-notes#3.19.8 · Nota
• https://twitter.com/integ_sec/status/2066494698080883020 · Publicação no Twitter