CVE-2016-3069

Mercurial przed wersją 4.3 jest podatny na brak sprawdzenia symlinków, co pozwala złośliwym repozytoriom na modyfikację plików poza repozytorium.

W Mercurial przed wersją 4.1.3, polecenie 'hg serve --stdio' umożliwia zdalnym uwierzytelnionym użytkownikom uruchomienie debugera Pythona, co pozwala na wykonanie dowolnego kodu poprzez użycie opcji --debugger jako nazwy repozytorium.

Dekoder binarnych różnic w Mercurial przed wersją 3.7.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez polecenia (1) klonowania, (2) przesyłania lub (3) pobierania, związane z (a) błędem zaokrąglania rozmiaru listy oraz (b) krótkimi rekordami.

Mercurial w wersjach przed 3.7.3 umożliwia zdalnym atakującym wykonanie dowolnego kodu poprzez spreparowany URL git ext:: podczas klonowania subrepozytorium.

Funkcja _validaterepo w sshpeer w Mercurial przed wersją 3.2.4 pozwala zdalnym atakującym na wykonywanie dowolnych poleceń poprzez spreparowaną nazwę repozytorium w poleceniu klonowania.

W Mercurial przed wersją 4.4.1 istnieje możliwość, że specjalnie sformatowane repozytorium może spowodować uruchomienie dowolnego kodu w subrepozytoriach Git w postaci skryptu .git/hooks/post-update. Typowe użycie Mercuriala zapobiega tworzeniu takich repozytoriów, ale mogą być one tworzone programowo.

Mercurial w wersjach przed 4.3 nie odpowiednio sanitizował nazw hostów przekazywanych do ssh, co prowadziło do możliwości ataków typu shell-injection.