CVE-2026-76219
WysokieCVSS 8.1Streszczenie
GitPython przed wersją 3.1.58 zawiera podatność dowolnego nadpisywania plików w metodach IndexFile.from_tree, IndexFile.reset i IndexFile.merge_tree, które dołączają ciągi treeish kontrolowane przez wywołującego do git read-tree bez walidacji opcji lub separacji argumentów. Atakujący mogą wstrzyknąć opcję --index-output, aby nadpisać dowolne pliki prawidłowym blobem indeksu git, niszcząc istniejącą zawartość plików w ścieżkach zapisywalnych kontrolowanych przez atakującego.
Ocena ryzyka
Atakujący może nadpisać dowolne pliki, co może prowadzić do uszkodzenia danych lub eskalacji uprawnień.
Rekomendacja
Zaktualizuj GitPython do wersji 3.1.58 lub nowszej. Ogranicz dostęp do metod manipulujących indeksem.
Oryginalny opis (angielski, źródło NVD)
GitPython versions before 3.1.58 contain an arbitrary file overwrite vulnerability in IndexFile.from_tree, IndexFile.reset, and IndexFile.merge_tree methods that append caller-influenced treeish strings to git read-tree without option validation or argument separation. Attackers can inject the --index-output option to overwrite arbitrary files with a valid git-index blob, destroying existing file content at attacker-controlled writable paths.