CVE-2026-119533
Publiée le 2026-11-01 · Dernière modification le 2026-11-01
Les tableaux de projet GitHub pour les dépôts et les organisations sont affectés par une faille dans la manière dont ils affichent les pull requests liées. Lorsqu'une pull request privée fait référence à un ticket (issue) sur un tableau de projet, le tableau ne vérifie pas si l'utilisateur actuel a l'autorisation de voir cette pull request privée. Cela a pour conséquence la fuite de métadonnées spécifiques du dépôt privé vers toute personne ayant accès au tableau.
Un attaquant peut ainsi découvrir le chemin du dépôt privé, le numéro de la pull request, son titre et son état actuel. Cela compromet la confidentialité concernant l'existence et la dénomination de travaux de développement privés, bien que le code réel et le corps des discussions restent masqués. Cette exploitation est triviale à réaliser car elle ne nécessite aucune authentification pour les tableaux publics, ni d'outils particuliers au-delà d'un navigateur web.
RÉFÉRENCES
Description officielle du NVD (en anglais)
Repository and organization project boards listed the pull requests that reference each issue on the board without checking whether the viewer can read them. When a private pull request mentions an issue on a board the viewer can open, the board revealed the private repository's path and the pull request's number, title and state, to anonymous visitors in the case of a public board. The pull request body, diff and files were not exposed. Boards now skip linked pull requests in repositories where the viewer cannot read pull requests.