CVE-2026-106058
WysokieCVSS 7.5Streszczenie
GitAhead do wersji 2.7.1 zawiera podatność na iniekcję poleceń systemu operacyjnego w pliku src/git/Filter.cpp, która pozwala złośliwym repozytoriom na wykonanie poleceń poprzez podstawienie spreparowanych nazw plików do poleceń filtrów clean/smudge. Atakujący mogą dostarczyć pliki z nazwami zawierającymi $(command) wybrane przez .gitattributes, tak aby operacje checkout lub staging uruchomiły polecenie przez bash -c jako ofiara.
Ocena ryzyka
Użytkownik może wykonać złośliwe polecenia na swoim koncie podczas pracy z repozytorium, co może prowadzić do przejęcia kontroli nad systemem lub kradzieży danych.
Rekomendacja
Zaktualizuj GitAhead do wersji nowszej niż 2.7.1, która zawiera poprawkę tej podatności.
Inne podatności w GitAhead
Zobacz wszystkie- CVE-2026-106059Wysokie
GitAhead do wersji 2.7.1 na macOS zawiera podatność na iniekcję poleceń, która pozwala atakującym na wykonanie poleceń powłoki poprzez spreparowane nazwy plików w repozytorium. Atakujący może dodać plik, którego ścieżka zawiera cudzysłów i kod do wykonania, który uruchomi się przy wybraniu opcji 'Show in Finder'.
- CVE-2026-105295Wysokie
GitAhead w wersjach od 2.5.0 do 2.7.1 zawiera niezabezpieczony mechanizm aktualizacji, który instaluje pobrane aktualizacje bez weryfikacji integralności i podpisu oraz trwale ignoruje błędy TLS po jednorazowym oknie błędu SSL. Atakujący w sieci, który raz przedstawi nieprawidłowy certyfikat, może przechwycić późniejsze automatyczne sprawdzenia aktualizacji, zaproponować fałszywą wersję i wykonać kod jako użytkownik podczas instalacji.
Oryginalny opis (angielski, źródło NVD)
GitAhead through 2.7.1 contains an OS command injection vulnerability in src/git/Filter.cpp that allows malicious repositories to execute commands by substituting crafted filenames into clean/smudge filter commands. Attackers can ship files named with $(command) selected via .gitattributes so checkout or staging runs the command through bash -c as the victim.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS