网络安全研究人员披露了CVE-2026-3854的详细信息，这是一个影响GitHub.com和GitHub Enterprise Server的严重漏洞，CVSS评分为8.7。此命令注入漏洞允许拥有仓库写入权限的认证用户通过单个git push命令执行远程代码，从而实现对受影响服务器的未授权控制。
服务器命令注入的技术细节 🔥
该漏洞存在于推送操作期间对引用的处理过程中。当攻击者发送恶意更改时，服务器在处理命令前未能正确验证用户输入。这使得可以注入任意操作系统命令。利用该漏洞需要认证和写入权限，但一旦服务器被攻破，攻击者可以提升权限、访问敏感数据或部署额外负载。
改变一切的推送（字面意思） 😈
终于，有一种方式能让git push变得真正激动人心。忘掉解决合并冲突或等待CI测试通过吧。现在，只需一个命令，你就能将仓库变成GitHub服务器的后门。最棒的是，你不需要成为终端忍者：只需一个拥有写入权限且乐于尝试的用户。至少，当系统管理员打电话给你时，你会有一个创意十足的借口。