https://www.notion.so/laisky/GitHub-RCE-Vulnerability-CVE-2026-3854-Breakdown-Wiz-Blog-352ba4011a8681c3afdfe340d1a76fd5?source=copy_link

上周看到这个号称仅用 git push 就实现了对 GitHub 服务器的远程控制。这篇文章介绍了攻击原理，没想到实际上这么草台。

网关服务 babeld 接收用户请求，进行身份验证后，就会设置 X-Stat header 作为内部服务通信的关键权限信息。然而，X-Stat 作为重要的内部属性，居然允许直接拼接外部的用户输入，而且在拼接时没有进行 sanitize 处理，导致攻击者可以简单的使用 ; 来实现任意注入。

这么重要的内部权限字段，居然接受明文的用户输入。这种低级错误应该连 GitHub 免费提供的 CodeQL 都能扫出来，太不应该了。

laisky on Notion

GitHub RCE Vulnerability: CVE-2026-3854 Breakdown | Wiz Blog | Notion

Wiz Research uncovered a critical vulnerability (CVE-2026-3854) in GitHub's internal git infrastructure that could have affected both GitHub.com and GitHub Enterprise Server. By exploiting an injection flaw in GitHub's internal protocol, any authenticated…