GitHub Enterprise Seite 2

In GitHub Enterprise Server wurde laut Quelle eine fehlerhafte Authentifizierung identifiziert, die per speziell präparierter API-Anfrage eine Umgehung des Private Mode erlaubt. Zur Ausnutzung benötigt ein Angreifer Netzwerkzugriff auf die im Private Mode konfigurierte Enterprise-Server-Appliance. Betroffen sind alle Versionen seit 3.9; behoben in 3.9.7, 3.10.4 und 3.11.1. Die Schwachstelle wurde über das GitHub Bug Bounty Program gemeldet. CVSS-Basiswert: 7.5 (Hoch).

Im Audit-Log von GitHub Enterprise Server wurde die Einfügung sensibler Informationen in die Logdatei identifiziert, wodurch ein Angreifer Zugriff auf die Management-Konsole erlangen könnte. Zur Ausnutzung benötigt ein Angreifer Zugang zu den Logdateien der GHES-Appliance, zu einem mit den GitHub-Enterprise-Server-Backup-Utilities erstellten Backup-Archiv oder zu einem Dienst, der die gestreamten Logs empfängt. Betroffen sind alle Versionen seit 3.8; behoben in 3.8.12, 3.9.7, 3.10.4 und 3.11.1. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 3.8.12, 3.9.7, 3.10.4 oder 3.11.1.

In ProLeiT Plant iT/Brewmaxx von Schneider Electric wurden mehrere Schwachstellen in Drittanbieter-Komponenten bekannt. Laut CSAF-Advisory ist 1 Produkt betroffen, für 1 Produkt steht ein Fix bereit. Ausnutzungswahrscheinlichkeit (EPSS): 86.8 %.

Für GitHub Enterprise wurde eine Sicherheitslücke (CVE-2024-9487) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 25.6 %.

GitHub Enterprise führt CVE-2024-4985 in den eigenen Release Notes auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 2.6 %.

In den Release Notes von GitHub Enterprise ist unter dieser CVE-ID ein Eintrag verzeichnet. Konkrete technische Details zur Schwachstelle, etwa CVSS-Basiswert oder betroffene Versionen, liegen in den vorliegenden Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Ausnutzungswahrscheinlichkeit (EPSS): 1.6 %. Für Details wird auf die Release Notes von GitHub Enterprise verwiesen.

GitHub führt CVE-2025-3509 in den Release Notes von GitHub Enterprise Server. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %.

GitHub führt CVE-2025-24362 in den Release Notes von GitHub Enterprise Server. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 1.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

setup-php ist eine GitHub-Action, die PHP mit Erweiterungen, php.ini-Konfiguration, Coverage-Treibern und Werkzeugen einrichtet. In Versionen ab 2.25.0 und vor 2.37.1 löst shivammathur/setup-php die PHP-Version aus Angaben des Repositorys auf. CVSS-Basiswert: 5.6 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt. Empfohlene Massnahme: Aktualisierung auf Version 2.37.1 oder neuer.

Für GitHub Enterprise wurde laut den Release Notes eine Sicherheitslücke (CVE-2024-10007) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.8 %.

In den Release Notes von GitHub Enterprise ist unter dieser CVE-ID ein Eintrag verzeichnet. Konkrete technische Details zur Schwachstelle, etwa CVSS-Basiswert oder betroffene Versionen, liegen in den vorliegenden Quelldaten nicht vor. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Für Details wird auf die Release Notes von GitHub Enterprise verwiesen.

GitHub führt CVE-2025-11892 in den Release Notes von GitHub Enterprise Server auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %.

GitHub Enterprise führt CVE-2024-9539 in den eigenen Release Notes auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Eine Ressourceninitialisierung mit einem unsicheren Standardwert in GitHub Copilot und Visual Studio Code erlaubt einem nicht autorisierten Angreifer, Informationen über das Netzwerk offenzulegen. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.5 %.

In GitHub Enterprise Server wurde laut NVD eine Pfadtraversierungs-Schwachstelle identifiziert, die es einem nicht authentifizierten Angreifer erlaubte, beliebige Dateien und Verzeichnisse auf der Instanz zu löschen, einschliesslich Nutzerdaten. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS) ist ebenfalls nicht angegeben.

Auf der Release-Notes-Seite von GitHub Enterprise Server ist unter dieser CVE-ID ein Eintrag verzeichnet. Konkrete technische Details zur Schwachstelle liegen in den vorliegenden Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Eine aktive Ausnutzung über CISA KEV oder ein Einsatz in Ransomware-Kampagnen ist nicht belegt.

GitHub Enterprise führt CVE-2025-3124 in den Sicherheitsmeldungen auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

In GitHub Enterprise Server wurde laut NVD eine Denial-of-Service-Schwachstelle identifiziert, die es einem nicht authentifizierten Angreifer ermöglicht, übermässigen CPU-Verbrauch zu verursachen und den Pool der Request-Handling-Worker zu erschöpfen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor, ebenso keine EPSS-Bewertung.

Für GitHub Enterprise Server ist CVE-2026-1355 in den Release Notes des Herstellers verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Für GitHub-Enterprise-Produkte wurde eine Sicherheitslücke (CVE-2024-10001) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

GitHub führt CVE-2025-14046 in den Release Notes von GitHub Enterprise Server auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

GitHub Enterprise listet CVE-2026-3306 in den Release Notes des Enterprise Server. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

GitHub Enterprise führt CVE-2024-8770 in den eigenen Release Notes auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

GitHub Enterprise listet CVE-2026-1999 in den Release Notes des Enterprise Server. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Für GitHub-Enterprise-Produkte wurde eine Sicherheitslücke (CVE-2025-8447) gemeldet. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für GitHub Enterprise wurde eine Sicherheitslücke (CVE-2026-5512) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

GitHub Enterprise listet CVE-2025-3246 in seinen Release Notes zu bekannten Schwachstellen. Eine detaillierte inhaltliche Beschreibung der Schwachstelle liegt in den verfügbaren Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Es liegt kein CVSS-Basiswert vor, die Lücke ist nicht als aktiv ausgenutzt (CISA KEV) bekannt und nicht mit Ransomware-Kampagnen in Verbindung gebracht.

Laut den Release Notes von GitHub Enterprise Server wurde CVE-2025-6600 im Rahmen einer Produktaktualisierung geschlossen; weitere technische Details liegen in der Quelle nicht vor. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

Für GitHub Enterprise Server ist CVE-2026-3307 in den Release Notes des Herstellers verzeichnet; die Quelle enthält keine weiterführende technische Beschreibung der Schwachstelle. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

GitHub Enterprise führt CVE-2025-6981 in seinen Sicherheitsmeldungen. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

In GitHub Enterprise Server wurde eine Schwachstelle durch fehlende Autorisierung festgestellt, die es einem authentifizierten Nutzer erlaubte, Quellcode aus privaten Repositories zu lesen, auf die er keinen Zugriff hatte. CVSS-Basiswert: 6.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

GitHub Enterprise listet CVE-2026-3582 in den Release Notes des Enterprise Server. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.

Gibbon in Versionen vor v30.0.01 ist von einer authentifizierten SQL-Injection betroffen, die über die Tracking-/Graphing-Funktion ausgenutzt werden kann. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Aktualisierung auf Version v30.0.01 oder neuer.

Eine fehlende Berechtigungsprüfung im Jenkins GitHub Branch Source Plugin 1967.1969.v205fd594c821 und älter erlaubt Angreifern mit Overall/Read-Berechtigung, die URLs konfigurierter GitHub-Enterprise-Server auszulesen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Plugin auf eine bereinigte Version aktualisieren.

Eine fehlerhafte Autorisierung in GitHub Enterprise Server erlaubte einem User-to-Server-Token, das auf eine GitHub-App-Installation begrenzt war, bestimmte Schreiboperationen auf öffentlichen Ressourcen durchzuführen. Betroffen ist GitHub Enterprise. CVSS-Basiswert: 5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf eine korrigierte Version aktualisieren.

Die offizielle GitHub-Kommandozeile (gh) ist in den Versionen 2.10.0 bis 2.95.0 angreifbar: Beim Verbinden mit einem bösartigen Codespace über gh codespace jupyter kann es zur Ausführung von Befehlen kommen. CVSS-Basiswert: 4.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: GitHub CLI auf eine Version über 2.95.0 aktualisieren.

GitHub führt CVE-2025-13744 in den Release Notes von GitHub Enterprise Server auf. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert ist nicht angegeben. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In GitHub Enterprise Server wurde eine Stored-Cross-Site-Scripting-Schwachstelle identifiziert, die es einem authentifizierten Angreifer durch Einschleusen von Code erlaubt, beliebiges JavaScript im Browser eines anderen Nutzers auszuführen. CVSS-Basiswert: 5.4 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: verfügbare Sicherheitsupdates von GitHub einspielen.

In GitHub Enterprise Server erlaubte eine UI-Falschdarstellung (UI misrepresentation) einer OAuth-Anwendung unbeabsichtigten Zugriff auf die Runner-Verwaltung einer Organisation. Ein Angreifer könnte dies ausnutzen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Laut den Release Notes von GitHub Enterprise Server wurde diese CVE im Rahmen einer Produktaktualisierung geschlossen; weitere technische Details liegen in der Quelle nicht vor. Ein CVSS-Basiswert liegt nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

In CactusViewer v2.3.0 (Projekt Wassimulator auf GitHub) besteht eine DLL-Hijacking-Schwachstelle. Angreifer können über eine präparierte DLL ihre Rechte ausweiten und beliebigen Code ausführen. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

HedgeDoc, eine quelloffene Anwendung für kollaborative Markdown-Notizen in Echtzeit, erzeugte im GitHub-Gist-Export-Ablauf vor Version 1.11.0 einen OAuth2-state-Wert, prüfte jedoch nur dessen Vorhandensein statt seiner Gültigkeit. Für diese Schwachstelle liegen in den Quelldaten kein CVSS- und kein EPSS-Wert vor. Empfohlene Massnahme: auf HedgeDoc 1.11.0 oder neuer aktualisieren.

In GitHub Copilot und Visual Studio Code ermöglichen unzureichend geschützte Zugangsdaten einem nicht autorisierten Angreifer, Informationen über das Netzwerk offenzulegen. CVSS-Basiswert: 6.5 (Mittel). Empfohlene Massnahme: die vom Hersteller bereitgestellten Aktualisierungen einspielen.

GitHub Enterprise listet CVE-2026-2304 in den Release Notes des Enterprise Server. Nähere technische Details zur Schwachstelle liegen in den Quelldaten nicht vor. Ein CVSS-Basiswert und eine EPSS-Kennzahl liegen in den Quelldaten nicht vor. Die Schwachstelle ist nicht im CISA-KEV-Katalog gelistet, ein Ransomware-Bezug ist nicht bekannt.