CVE-2026-76217

ŚrednieCVSS 6.5

Opublikowano: 19/08/2026(UTC)Przetłumaczono: 19/08/2026(UTC)NVD NIST

Streszczenie

GitPython w wersjach przed 3.1.58 nie waliduje opcji przekazywanych do poleceń git rm i git checkout w metodach IndexFile.remove() i Head.checkout(). Atakujący mogą dostarczyć parametry --pathspec-from-file i --pathspec-file-nul, aby odczytać dowolne pliki dostępne dla procesu, a pełna zawartość plików jest zwracana w GitCommandError.stderr.

Ocena ryzyka

Ryzyko ujawnienia poufnych plików dostępnych dla procesu, co może prowadzić do wycieku danych, w tym kluczy, haseł i innych wrażliwych informacji.

Rekomendacja

Zaktualizuj GitPython do wersji 3.1.58 lub nowszej, która zawiera poprawkę eliminującą podatność.

Oryginalny opis (angielski, źródło NVD)

GitPython versions before 3.1.58 fail to validate options passed to git rm and git checkout commands in IndexFile.remove() and Head.checkout(). Attackers can supply --pathspec-from-file and --pathspec-file-nul parameters to read arbitrary files accessible to the process, with full file contents returned in GitCommandError.stderr.