CVE-2026-73619
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
GitPython przed wersją 3.1.57 zawiera niekompletną listę zabronionych opcji w zabezpieczeniu unsafe_git_archive_options, która pomija opcje --add-file i --add-virtual-file. Atakujący mogą podać te opcje do metody Repo.archive(), aby odczytać dowolne pliki z systemu plików i dołączyć je do zwracanego archiwum.
Ocena ryzyka
Atakujący może odczytać poufne pliki z serwera, co może prowadzić do wycieku danych wrażliwych, takich jak konfiguracje, klucze czy dane użytkowników.
Rekomendacja
Zaleca się aktualizację GitPython do wersji 3.1.57 lub nowszej, która zawiera poprawkę uzupełniającą listę zabronionych opcji.
Oryginalny opis (angielski, źródło NVD)
GitPython before 3.1.57 contains an incomplete denylist in the unsafe_git_archive_options guard that omits --add-file and --add-virtual-file options. Attackers can supply these options to Repo.archive() to read arbitrary files from the filesystem and include them in the returned archive.