CVE-2026-59703
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 - wyżej niż 31% wszystkich znanych CVE
Streszczenie
Repomix zawiera podatność na lokalne dołączanie plików w punkcie końcowym git clone, która pozwala nieuwierzytelnionym atakującym na odczyt dowolnych lokalnych repozytoriów git. Funkcja isValidRemoteValue w src/core/git/gitRemoteParse.ts nie blokuje adresów URL file://, umożliwiając atakującym podanie schematu file://, który omija walidację i jest przekazywany bezpośrednio do git clone, co prowadzi do nieautoryzowanego dostępu do wszystkich śledzonych plików na serwerze.
Ocena ryzyka
Ryzyko polega na możliwości wycieku poufnych danych przechowywanych w lokalnych repozytoriach git, w tym kodów źródłowych, haseł i kluczy, co może prowadzić do naruszenia bezpieczeństwa organizacji.
Rekomendacja
Należy natychmiast zaktualizować repomix do wersji, która blokuje adresy URL file:// w funkcji isValidRemoteValue, lub tymczasowo wyłączyć punkt końcowy git clone do czasu zastosowania poprawki.
Inne podatności w Repomix
Zobacz wszystkie- CVE-2026-59702Krytyczne
Repomix zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w punkcie końcowym POST /api/pack, która pozwala nieuwierzytelnionym atakującym na wykonywanie dowolnych żądań wychodzących. Punkt końcowy nieprawidłowo waliduje adresy URL http://, https:// i file:// przed przekazaniem ich do git clone, umożliwiając atakującym dostęp do prywatnych adresów sieciowych, usług metadanych GCP lub ścieżek lokalnego systemu plików.
- CVE-2026-49988Średnie
Repomix MCP server przed wersją 1.14.1 umożliwia rejestrację i odczyt dowolnych lokalnych plików .json, .txt, .md lub .xml bez sprawdzania bezpieczeństwa file_system_read_file runSecretLint() ani walidacji pakietu wyjściowego Repomix. Pozwala to wywołującym MCP na ominięcie granicy skanowania sekretów podczas odczytu plików lokalnych.
- CVE-2026-49987Wysokie
Repomix przed wersją 1.14.1 zawiera podatność na wstrzykiwanie opcji Gita poprzez parametr --remote-branch w funkcji execGitShallowClone. Brak walidacji i użycia --end-of-options pozwala atakującemu na wstrzyknięcie opcji takich jak --upload-pack, co może prowadzić do wykonania dowolnych poleceń przez lokalne lub SSH transporty.
Oryginalny opis (angielski, źródło NVD)
repomix contains a local file inclusion vulnerability in the git clone endpoint that allows unauthenticated attackers to read arbitrary local git repositories. The isValidRemoteValue function in src/core/git/gitRemoteParse.ts fails to block file:// URLs, permitting attackers to supply file:// scheme URLs that bypass validation and are passed directly to git clone, enabling unauthorized access to all tracked file contents on the server filesystem.