GitHub Enterprise Server – SSRF mit Code-Ausführung durch Site-Administratoren

Beschreibung

In GitHub Enterprise Server wurde eine Server-Side-Request-Forgery-Schwachstelle identifiziert, die einem Angreifer mit der Rolle Site Administrator die Fähigkeit zur beliebigen Codeausführung auf der Instanz verschafft. Die Ausnutzung setzt authentifizierten Zugriff mit dieser Administratorrolle voraus. Betroffen sind alle Versionen vor 3.13; behoben ist die Lücke in den Versionen 3.12.5, 3.11.11, 3.10.13 und 3.9.16. Die Schwachstelle wurde über das GitHub Bug-Bounty-Programm gemeldet. CVSS-Basiswert: 7.6 (Hoch).

Changelog

1. 2026-07-29 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in GitHub Enterprise

• Meta React Server Components – Remote Code Execution KEV CVE-2025-55182
• reviewdog/action-setup GitHub Action – Eingebetteter Schadcode KEV CVE-2025-30154
• tj-actions/changed-files GitHub Action – Eingebetteter Schadcode KEV CVE-2025-30066
• Sicherheitslücken in ProLeiT Plant iT/Brewmaxx (Drittkomponenten) CVE-2025-49844
• GitHub Enterprise Server – Remote Code Execution über Repository-Push CVE-2026-3854
• CVE-2024-9487 – GitHub Enterprise Sicherheitslücke CVE-2024-9487