CVE-2026-110767

WysokieCVSS 7.5

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 15/10/2026(UTC)Przetłumaczono: 15/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.41%

Percentyl 33 - wyżej niż 33% wszystkich znanych CVE

Streszczenie

Gitingest do wersji 0.3.1 zawiera podatność podążania za dowiązaniami symbolicznymi w ingest_query przy pojedynczym pliku blob, która pozwala nieuwierzytelnionym atakującym na odczyt plików serwera poprzez przesyłanie adresów URL blobów będących dowiązaniami symbolicznymi. Atakujący może zatwierdzić dowiązanie symboliczne w publicznym repozytorium i przesłać jego adres URL blob, powodując zwrócenie przez serwer dowolnego pliku, do którego użytkownik usługi ma dostęp, o rozmiarze do 10 MB.

Ocena ryzyka

Atakujący może odczytać dowolne pliki dostępne dla użytkownika usługi, co może prowadzić do wycieku poufnych informacji, takich jak klucze, konfiguracje czy dane uwierzytelniające.

Rekomendacja

Zaktualizuj Gitingest do wersji nowszej niż 0.3.1, jeśli jest dostępna. Ogranicz uprawnienia użytkownika usługi i unikaj podążania za dowiązaniami symbolicznymi podczas przetwarzania blobów.

Inne podatności w Gitingest

CVE-2026-82289Wysokie
Gitingest do wersji 0.3.1 nieprawidłowo waliduje nazwy hostów w funkcji _validate_host, akceptując każdy host z prefiksem git., gitlab. lub github. niezależnie od listy znanych hostów. Atakujący mogą wysyłać URL-e z kontrolowanymi nazwami hostów, aby wywołać połączenia wychodzące do dowolnych hostów i ujawnić tokeny dostępu osobistego GitHub poprzez podstawowe poświadczenia HTTP.

Oryginalny opis (angielski, źródło NVD)

Gitingest through 0.3.1 contains a symlink following vulnerability in ingest_query single-file blob ingestion that allows unauthenticated attackers to read server files by submitting symlink blob URLs. Attackers can commit a symlink to a public repository and submit its blob URL, causing the server to return any file the service user can read, up to 10 MB.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS