CVE-2026-119627
Publiée le 2026-11-01 · Dernière modification le 2026-11-01
Les profils web et les flux RSS/Atom de GitHub présentent une faille qui contourne les paramètres de confidentialité des utilisateurs et des organisations. Ces profils sont utilisés pour afficher l'activité publique et les métadonnées, mais certains sont configurés en « visibilité limitée » pour rester masqués du grand public. Le bug survient car le système ne vérifie pas si un jeton d'accès personnel (personal access token) est restreint au mode « public uniquement » lors de l'accès à ces routes web spécifiques.
Un attaquant disposant d'un jeton limité au mode public peut utiliser l'authentification HTTP Basic pour consulter les métadonnées de profil et les flux d'activité de comptes à visibilité limitée. Cela affecte la confidentialité en exposant l'existence et l'historique public de comptes qui souhaitaient rester cachés des visiteurs anonymes. L'exploitation est relativement simple à réaliser, ne nécessitant qu'un jeton valide et un accès réseau à l'interface web, bien qu'elle ne permette aucun accès en écriture ni aucun contrôle administratif.
RÉFÉRENCES
Description officielle du NVD (en anglais)
The web profile and RSS/Atom feed routes of users and organizations checked only whether a signed-in viewer could see a limited-visibility owner, without considering the `public-only` restriction of the personal access token used to authenticate. Any user holding a public-only token could send it over HTTP Basic authentication to read the profile and activity feed of limited-visibility users and organizations, which are hidden from anonymous visitors and refused on the equivalent API routes. The disclosure covers existence, profile metadata and public activity; it does not grant write access.