CVE-2026-119625
Publiée le 2026-11-01 · Dernière modification le 2026-11-01
Le logiciel concerné utilise une route web pour les profils d'utilisateurs et les flux d'activité qui gère incorrectement les jetons d'accès personnels fournis via l'authentification HTTP Basic. Plus précisément, le système ne vérifiait pas si un jeton possédait les permissions (scopes) requises pour accéder aux données demandées. Cela permettait à des jetons ayant des privilèges limités, comme ceux destinés uniquement à la lecture de tickets, d'accéder aux flux d'activité privés et aux détails du profil d'un utilisateur.
Un attaquant disposant d'un jeton valide à portée limitée peut consulter les dépôts privés du propriétaire, ses appartenances à des organisations privées ainsi que les README de son profil privé. Si le jeton appartient à un administrateur du site, celui-ci peut potentiellement accéder à ces données privées pour n'importe quel compte sur le serveur. L'exploitation est simple et ne nécessite qu'un accès réseau et un jeton valide, bien que l'attaquant soit limité aux données associées au compte lié à ce jeton spécifique.
RÉFÉRENCES
Description officielle du NVD (en anglais)
The `/{username}` web route accepted personal access tokens over HTTP Basic authentication without checking their scope. A token confined to an unrelated scope, such as `read:issue`, could read its owner's private activity through the user RSS/Atom feed and the profile activity tab, and other members' activity in a private organization through the organization feed; a public-only token could list the owner's private repositories and organizations and render private profile READMEs. For a site administrator's token this applied to every account. Tokens are now accepted on this route only for feeds, which require `read:user` or `read:organization`.