-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA512


   #####################################################
  ##  N C S C ~ B E V E I L I G I N G S A D V I E S  ##
 #####################################################

Titel           : Kwetsbaarheden verholpen in GitHub Enterprise Server
Advisory ID     : NCSC-2026-0219
Versie          : 1.00
Kans            : medium
CVE ID          : CVE-2026-9106, CVE-2026-9132, CVE-2026-10585
                  (Details over de kwetsbaarheden kunt u vinden op
                   de Mitre website: https://cve.mitre.org/cve/)
Schade          : high
                  Improper Neutralization of Input During Web Page
                  Generation ('Cross-site Scripting')
                  User Interface (UI) Misrepresentation of Critical
                  Information
                  Missing Authorization
Uitgiftedatum   : 20260703
Toepassing      : GitHub Enterprise Server
                  Microsoft GitHub Enterprise
Versie(s)       :
Platform(s)     :

Beschrijving
   GitHub heeft meerdere kwetsbaarheden verholpen in GitHub Enterprise
   Server, specifiek in versies vóór 3.21 en 3.22.

   De eerste kwetsbaarheid betreft een stored cross-site scripting (XSS)
   waarbij geauthenticeerde aanvallers kwaadaardige JavaScript-payloads
   kunnen injecteren in Discussion-titels. Deze scripts worden
   uitgevoerd in de context van andere gebruikers die de betreffende
   discussies bekijken. De tweede kwetsbaarheid is een UI-
   misrepresentatie waarbij het OAuth-scope manage_runners:org verborgen
   werd op het toestemmingsscherm, waardoor OAuth-applicaties onbedoeld
   toegang konden krijgen tot organisatie runner management functies. De
   derde kwetsbaarheid betreft een ontbrekende autorisatie, waardoor
   geauthenticeerde gebruikers toegang konden krijgen tot broncode van
   private repositories waar zij geen rechten voor hadden, via het
   Copilot pull request description diff summary endpoint.

Mogelijke oplossingen
   GitHub heeft updates uitgebracht in versies 3.17.17, 3.18.11, 3.19.8,
   3.20.4, en latere releases tot en met 3.22 om deze kwetsbaarheden te
   verhelpen. Zie bijgevoegde referenties voor meer informatie.

   Referenties:
      Reference
      https://docs.github.com/en/enterprise-server@3.16/admin/release-
      notes#3.16.20

      Reference
      https://docs.github.com/en/enterprise-server@3.17/admin/release-
      notes#3.17.17

      Reference
      https://docs.github.com/en/enterprise-server@3.18/admin/release-
      notes#3.18.11

      Reference
      https://docs.github.com/en/enterprise-server@3.19/admin/release-
      notes#3.19.8

      Reference
      https://docs.github.com/en/enterprise-server@3.20/admin/release-
      notes#3.20.4

      Reference
      https://docs.github.com/en/enterprise-server@3.21/admin/release-
      notes#3.21.2

Vrijwaringsverklaring
   Door gebruik van deze security advisory gaat u akkoord met de
   navolgende voorwaarden. Ondanks dat het NCSC de grootst mogelijke
   zorg heeft betracht bij de samenstelling van dit beveiligingsadvies,
   kan het NCSC niet instaan voor de volledigheid, juistheid of
   (voortdurende) actualiteit van dit beveiligingsadvies. De informatie
   in dit beveiligingsadvies is uitsluitend bedoeld als algemene
   informatie voor professionele partijen. Aan de informatie in dit
   beveiligingsadvies kunnen geen rechten worden ontleend. Het NCSC
   en de Staat zijn niet aansprakelijk voor enige schade ten gevolge
   van het gebruik of de onmogelijkheid van het gebruik van dit
   beveiligingsadvies, waaronder begrepen schade ten gevolge van de
   onjuistheid of onvolledigheid van de informatie in dit
   beveiligingsadvies. Op dit beveiligingsadvies is Nederlands recht
   van toepassing. Alle geschillen in verband met en/of voortvloeiend
   uit dit beveiligingsadvies zullen worden voorgelegd aan de exclusief
   bevoegde rechter te Den Haag. Deze rechtskeuze geldt tevens voor de
   voorzieningenrechter in kort geding.
-----BEGIN PGP SIGNATURE-----
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=7Ysv
-----END PGP SIGNATURE-----