CVE-2026-73624
WysokieCVSS 8.1Streszczenie
GitPython przed wersją 3.1.54 zawiera podatność na nadpisanie dowolnych plików w metodzie Diffable.diff, która nie waliduje opcji git przekazywanych przez kwargs. Atakujący mogą podać argument --output przez parametr other lub kwarg output, aby zapisać treść patchy do wybranych przez atakującego ścieżek plików z uprawnieniami procesu.
Ocena ryzyka
Atakujący może nadpisać dowolne pliki na serwerze, co może prowadzić do modyfikacji konfiguracji, wstrzyknięcia złośliwego kodu lub zakłócenia działania usług.
Rekomendacja
Zaleca się aktualizację GitPython do wersji 3.1.54 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
GitPython versions before 3.1.54 contain an arbitrary file overwrite vulnerability in the Diffable.diff method that fails to validate git options passed through kwargs. Attackers can supply the --output argument via the other parameter or output kwarg to write patch content to attacker-chosen file paths at process privilege level.