CVE-2026-3854
Ejecución remota de código mediante inyección de opciones de git push en GitHub Enterprise Server
- Publicado
- 10 mar 2026
- Actualizado
- 29 abr 2026
- Asignación de CNA
- GitHub_P
- Evidencia observada
- 25 ago 2026
CVSS primario
nvd · CVSS 4.0
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XBajo · próximos 30 días
- Percentil
- 73,9 %
- Fecha del modelo
- 15 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
Una vulnerabilidad de neutralización inadecuada de elementos especiales fue identificada en GitHub Enterprise Server que permitía a un atacante con acceso de push a un repositorio lograr ejecución remota de código en la instancia. Durante una operación de git push, los valores de opción de push proporcionados por el usuario no se sanitizaban correctamente antes de ser incluidos en los encabezados de servicio internos. Debido a que el formato del encabezado interno utilizaba un carácter delimitador que también podía aparecer en la entrada del usuario, un atacante podía inyectar campos de metadatos adicionales a través de valores de opción de push manipulados. Esta vulnerabilidad fue reportada a través del programa GitHub Bug Bounty y ha sido corregida en las versiones de GitHub Enterprise Server 3.14.24, 3.15.19, 3.16.15, 3.17.12, 3.18.6 y 3.19.3.
Fuentes
- CVE-2026-3854Investigación
Desglose técnico de CVE-2026-3854, una RCE en GitHub mediante inyección de cabeceras en git push, que explica la vulnerabilidad, la técnica de explotación y la mitigación.
- ghe-push-option-rce-scannerEscáner
Escáner: CVE-2026-3854 RCE pre-autenticación en GitHub Enterprise Server mediante inyección de opciones Push — verificador en Python (CISA KEV)
- Exploit_CVE-2026-3854Exploit
Exploit para CVE-2026-3854, una vulnerabilidad de ejecución remota de código en GitHub Enterprise Server, activada mediante opciones de git push manipuladas. Incluye detalles de versiones vulnerables y orientación de detección.
RCE en GitHub vía inyección de la opción push X-Stat
Pruebas de evasión para el parche de CVE-2026-3854, que proporcionan una prueba de concepto para validar las correcciones de seguridad.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.