CVE-2023-46648
Publiée le 2023-12-21 · Dernière modification le 2026-06-17
Les installations de GitHub Enterprise Server sont affectées par une faille dans la manière dont les jetons d'invitation sont générés pour la console de gestion. Un attaquant non authentifié disposant d'un accès réseau peut tenter de forcer une invitation en attente afin d'obtenir un contrôle administratif total sur le système. Cette opération est difficile à réaliser car elle nécessite que l'attaquant sache qu'une invitation est actuellement en attente et qu'il parvienne à deviner le jeton, lequel présente une faible entropie.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An insufficient entropy vulnerability was identified in GitHub Enterprise Server (GHES) that allowed an attacker to brute force a user invitation to the GHES Management Console. To exploit this vulnerability, an attacker would need knowledge that a user invitation was pending. This vulnerability affected all versions of GitHub Enterprise Server since 3.8 and was fixed in version 3.8.12, 3.9.7, 3.10.4, and 3.11.1. This vulnerability was reported via the GitHub Bug Bounty program.