CVE-2026-33762
NiskieCVSS 2.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
go-git to biblioteka implementująca Git w czystym Go. Przed wersją 5.17.1 dekoder indeksu dla formatu wersji 4 nie sprawdza poprawności długości prefiksu ścieżki przed zastosowaniem go do wcześniej zdekodowanej ścieżki. Złośliwie spreparowany plik indeksu może wywołać operację poza zakresem, prowadząc do paniki w czasie wykonywania podczas normalnego parsowania indeksu. Problem dotyczy tylko formatu indeksu Git w wersji 4; wcześniejsze formaty (v2 i v3) nie są podatne.
Ocena ryzyka
Atakujący może spowodować awarię aplikacji używającej go-git do parsowania złośliwego pliku indeksu, co prowadzi do odmowy usługi (DoS).
Rekomendacja
Zaktualizuj go-git do wersji 5.17.1 lub nowszej.
Inne podatności w go-git
Zobacz wszystkie- CVE-2026-71557Średnie
go-git to biblioteka implementująca git w czystym Go. Przed wersjami 5.19.2 i 6.0.0-alpha.5 nazwy referencji nie są sanityzowane przed użyciem do konstruowania ścieżek na dysku w katalogu przechowywania referencji, więc złośliwie spreparowana nazwa referencji (np. zawierająca sekwencje przechodzenia do katalogów) może spowodować zapis plików poza zamierzonym katalogiem. Wersje 5.19.2 i 6.0.0-alpha.5 naprawiają problem.
- CVE-2026-71556Wysokie
go-git przed wersjami 5.19.2 i 6.0.0-alpha.5 ma podatność, w której operacje na drzewie roboczym (checkout, status, add) rozwiązują dowiązania symboliczne bez ograniczania do granic drzewa roboczego. Złośliwie przygotowane repozytorium z dowiązaniem symbolicznym może spowodować odczyt lub zapis plików poza zamierzonym katalogiem roboczym.
- CVE-2026-34165Średnie
W bibliotece go-git (implementacja gita w czystym Go) w wersjach od 5.0.0 do przed 5.17.1 złośliwie spreparowany plik .idx może powodować asymetryczne zużycie pamięci, prowadząc do wyczerpania dostępnej pamięci i warunku odmowy usługi (DoS). Eksploatacja wymaga zapisu do katalogu .git lokalnego repozytorium w celu utworzenia lub zmodyfikowania plików .idx. Podatność została załatana w wersji 5.17.1.
Oryginalny opis (angielski, źródło NVD)
go-git is an extensible git implementation library written in pure Go. Prior to version 5.17.1, go-git’s index decoder for format version 4 fails to validate the path name prefix length before applying it to the previously decoded path name. A maliciously crafted index file can trigger an out-of-bounds slice operation, resulting in a runtime panic during normal index parsing. This issue only affects Git index format version 4. Earlier formats (go-git supports only v2 and v3) are not vulnerable to this issue. This issue has been patched in version 5.17.1.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS