CVE-2026-1999

सारांश

GitHub Enterprise Server में एक अनुचित प्राधिकरण भेद्यता (incorrect authorization vulnerability) की पहचान की गई थी, जिसने एक हमलावर को पुश एक्सेस (push access) के बिना अपने स्वयं के पुल रिक्वेस्ट (pull request) को रिपॉजिटरी में मर्ज करने की अनुमति दी, जो पुल रिक्वेस्ट के लिए enable_auto_merge म्यूटेशन में प्राधिकरण बायपास (authorization bypass) का फायदा उठाकर किया गया था। यह समस्या केवल उन रिपॉजिटरी को प्रभावित करती है जो फोर्किंग (forking) की अनुमति देती हैं, क्योंकि हमला हमलावर-नियंत्रित फोर्क से लक्षित रिपॉजिटरी में पुल रिक्वेस्ट खोलने पर निर्भर करता है। शोषण (exploitation) केवल विशिष्ट परिदृश्यों में ही संभव था। इसके लिए एक स्वच्छ पुल रिक्वेस्ट स्थिति की आवश्यकता थी और यह केवल उन ब्रांचों पर लागू होता था जिन पर ब्रांच प्रोटेक्शन नियम (branch protection rules) सक्षम नहीं थे। यह भेद्यता GitHub Enterprise Server के 3.19.2, 3.18.5, और 3.17.11 से पहले के संस्करणों को प्रभावित करती थी, और इसे संस्करण 3.19.2, 3.18.5, और 3.17.11 में ठीक किया गया। इस भेद्यता की रिपोर्ट GitHub बग बाउंटी प्रोग्राम (GitHub Bug Bounty program) के माध्यम से की गई थी।

• CVE-2026-PoCsअनुसंधान

  2026 में सार्वजनिक किए गए CVEs के लिए Proof-of-Concept एक्सप्लॉइट्स का एक समुदाय-निर्मित, सत्यापित संग्रह।