CVE-2026-0573: GitHub Enterprise Server: redirecionamento aberto expõe token de autorização

Visão geral

A CVE-2026-0573 é uma fraqueza de redirecionamento aberto (CWE-601) no GitHub Enterprise Server. Segundo o registro, a API repository_pages seguia redirecionamentos HTTP ao buscar URLs de artefatos e repassava o cabeçalho de autorização, que continha um JWT privilegiado. Os detalhes abaixo se baseiam na descrição do registro, e as notas de versão do fabricante indicadas aqui informam as versões corrigidas por ramo.

Impacto

De acordo com o registro, um usuário autenticado poderia fazer o servidor enviar seu token de autorização para um domínio controlado pelo atacante.
O token exposto é descrito como o JWT Actions.ManageOrgs, que, segundo o registro, poderia ser usado para uma possível execução remota de código.
A pontuação base CVSS do NVD é 9 (crítica). A pontuação da CNA do GitHub é 7.6 no CVSS 4.0. Essas pontuações são apresentadas como constam no registro e não foram verificadas de forma independente aqui.
O registro indica exploração SSVC como none e automatizável como no.

Produtos e versões afetadas

Produto: GitHub Enterprise Server.
Intervalos afetados no registro: de 3.14 até 3.14.21 inclusive, de 3.15 até 3.15.16 inclusive, de 3.16 até 3.16.12 inclusive, de 3.17 até 3.17.9 inclusive, de 3.18 até 3.18.3 inclusive e de 3.19 até 3.19.1 inclusive.
A descrição narrativa afirma que todas as versões anteriores à 3.19 foram afetadas. Os intervalos por ramo são mais detalhados, por isso os administradores devem consultar o aviso do fabricante para conciliar as duas informações.
Versões corrigidas: 3.14.22, 3.15.17, 3.16.13, 3.17.10, 3.18.4 e 3.19.2.

Status de exploração

Segundo o registro, a CVE não consta no catálogo KEV da CISA.
Não há exploração confirmada nas fontes consultadas. O registro indica probabilidade EPSS de 0.00736 e percentil de 0.5397.

Correção e mitigação

Atualize cada instância do GitHub Enterprise Server para a versão corrigida do seu ramo de release, seguindo as notas de versão do fabricante, como as notas da versão 3.19.2.
Priorize instâncias com muitos usuários autenticados, já que o registro afirma que é necessário um usuário autenticado.
Após a atualização, considere rotacionar credenciais e tokens que possam ter sido expostos em instâncias com versões afetadas. Esta é uma inferência sobre a natureza da falha, e não uma orientação do fabricante presente no registro.
Consulte a entrada no NVD para atualizações.

Orientações de detecção

Revise logs e registros de auditoria do servidor em busca de requisições de saída inesperadas do equipamento para domínios externos durante a obtenção de artefatos.
Observe o uso incomum de tokens privilegiados relacionados ao Actions a partir de origens inesperadas.
Estas são sugestões em alto nível. O registro não descreve indicadores de comprometimento específicos.

Limitações das informações disponíveis

O registro não fornece prova de conceito nem condições detalhadas de exploração, e esta análise não acrescenta nenhuma.
A afirmação narrativa sobre versões e os intervalos por ramo diferem em granularidade.
A lista de correções do registro está vazia, o que não significa que não exista correção, pois as notas de versão indicam as versões corrigidas.
Não é possível saber, a partir dessas fontes, se alguma implantação específica foi explorada.

Perguntas frequentes

O que é a CVE-2026-0573?

É uma fraqueza de redirecionamento aberto no GitHub Enterprise Server, em que a API repository_pages seguia redirecionamentos e enviava um token de autorização junto, segundo o registro.

Quais versões estão corrigidas?

O registro indica correções nas versões 3.14.22, 3.15.17, 3.16.13, 3.17.10, 3.18.4 e 3.19.2, uma para cada ramo de release.

Há exploração conhecida dessa vulnerabilidade?

O registro não a lista no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.