GitHub Enterprise Server: Unsichere Reflection ermöglicht RCE

Beschreibung

In GitHub Enterprise Server wurde eine unsichere Reflection-Schwachstelle identifiziert, die zu Reflection Injection führen kann. Dies ermöglicht die Ausführung nutzergesteuerter Methoden bis hin zu Remote Code Execution. Zur Ausnutzung benötigt ein Angreifer ein angemeldetes Konto mit der Rolle "Organization Owner" auf der GHES-Instanz. Betroffen sind alle Versionen vor 3.12; behoben in 3.8.13, 3.9.8, 3.10.5 und 3.11.3. Die Schwachstelle wurde über das GitHub-Bug-Bounty-Programm gemeldet. CVSS-Basiswert: 7.2 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 3.8.13, 3.9.8, 3.10.5 oder 3.11.3.

Changelog

1. 2026-08-02 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in GitHub Enterprise

• Meta React Server Components – Remote Code Execution KEV CVE-2025-55182
• reviewdog/action-setup GitHub Action – Eingebetteter Schadcode KEV CVE-2025-30154
• tj-actions/changed-files GitHub Action – Eingebetteter Schadcode KEV CVE-2025-30066
• Sicherheitslücken in ProLeiT Plant iT/Brewmaxx (Drittkomponenten) CVE-2025-49844
• GitHub Enterprise Server – Remote Code Execution über Repository-Push CVE-2026-3854
• CVE-2024-9487 – GitHub Enterprise Sicherheitslücke CVE-2024-9487