CVE-2026-76222
WysokieCVSS 8.2Streszczenie
GitPython przed wersją 3.1.58 nie waliduje nazw podmodułów z plików .gitmodules, co pozwala atakującym tworzyć repozytoria Git w dowolnych ścieżkach systemu plików poza zamierzonym katalogiem klonowania. Atakujący mogą stworzyć złośliwe repozytoria z sekwencjami przejść w nazwach podmodułów, które GitPython przetwarza podczas inicjalizacji podmodułów, tworząc kontrolowane przez atakującego repozytoria Git w uciekających lokalizacjach.
Ocena ryzyka
Atakujący może nadpisać lub utworzyć pliki w dowolnych lokalizacjach systemu plików, co może prowadzić do eskalacji uprawnień lub naruszenia integralności systemu.
Rekomendacja
Zaktualizuj GitPython do wersji 3.1.58 lub nowszej. Unikaj inicjalizacji podmodułów z niezaufanych repozytoriów.
Oryginalny opis (angielski, źródło NVD)
GitPython before 3.1.58 fails to validate submodule names from .gitmodules files, allowing attackers to create Git repositories at arbitrary filesystem paths outside the intended clone directory. Attackers can craft malicious repositories with traversal sequences in submodule names that GitPython processes during submodule initialization, creating attacker-controlled Git repositories at escaped filesystem locations.