CVE-2024-10001

إصدارات GitHub Enterprise Server السابقة للإصدار 3.11.16

إصدارات GitHub Enterprise Server السابقة للإصدار 3.12.10

إصدارات GitHub Enterprise Server السابقة للإصدار 3.13.5

إصدارات GitHub Enterprise Server السابقة للإصدار 3.14.2

إصدارات GitHub Enterprise Server السابقة للإصدار 3.15.0

تم اكتشاف ثغرة أمنية تتعلق بحقن الكود في GitHub Enterprise Server، مما سمح للمهاجمين بحقن كود ضار في محدد الاستعلام عبر الخاصية identity في وظيفة معالجة الرسائل. وقد أتاح ذلك استخراج البيانات الحساسة عن طريق التلاعب بنموذج DOM، بما في ذلك رموز المصادقة. لتنفيذ الهجوم، يجب أن يكون الضحية مسجلاً الدخول إلى GitHub ويتفاعل مع صفحة الويب الخبيثة التي يتحكم فيها المهاجم والتي تحتوي على إطار iframe مخفي. تحدث هذه الثغرة الأمنية بسبب تسلسل غير صحيح لعملية التحقق من الصحة، حيث يتم فحص المنشأ بعد قبول الخاصية identity التي يتحكم فيها المستخدم.

بالنسبة للإصدارات الأقدم من 3.11.16، قم بالتحديث إلى الإصدار 3.11.16 أو أحدث.

بالنسبة للإصدارات الأقدم من 3.12.10، قم بالتحديث إلى الإصدار 3.12.10 أو أحدث.

بالنسبة للإصدارات الأقدم من 3.13.5، قم بالتحديث إلى الإصدار 3.13.5 أو أحدث.

بالنسبة للإصدارات السابقة للإصدار 3.14.2، قم بالتحديث إلى الإصدار 3.14.2 أو أحدث.

بالنسبة للإصدارات السابقة للإصدار 3.15.0، قم بالتحديث إلى الإصدار 3.15.0 أو أحدث.

كحل مؤقت، ضع في اعتبارك تقييد الوصول إلى وظيفة معالجة الرسائل حتى يتوفر تصحيح.

تجنب استخدام الخاصية identity في محدد الاستعلام حتى يتم حل المشكلة.