CVE-2026-82668
WysokieCVSS 7.3Streszczenie
Wykryto podatność w klaussilveira GitList 2.0.0. Dotyczy ona funkcji getDefaultBranch w pliku src/SCM/System/Git/CommandLine.php komponentu Git Command Line. Manipulacja prowadzi do wstrzyknięcia poleceń systemu operacyjnego. Atak może być wykonany zdalnie. Exploit został publicznie ujawniony i może być użyty. Aktualizacja do wersji 3.0.0-beta rozwiązuje ten problem. Nazwa łatki to 88cf2866083d5f7c20d9d565c45f828a7ad1516b. Zaleca się aktualizację.
Ocena ryzyka
Wstrzyknięcie poleceń systemu operacyjnego może pozwolić atakującemu na wykonanie dowolnych poleceń na serwerze, co może prowadzić do pełnej kompromitacji systemu.
Rekomendacja
Zaleca się natychmiastową aktualizację GitList do wersji 3.0.0-beta lub nowszej oraz zastosowanie łatki 88cf2866083d5f7c20d9d565c45f828a7ad1516b.
Inne podatności w GitList
Zobacz wszystkie- CVE-2014-4511Wysokie
Gitlist w wersjach przed 0.5.0 umożliwia zdalnym atakującym wykonywanie dowolnych poleceń poprzez metaznaki powłoki w nazwie pliku w URI żądania do stron (1) blame, (2) file lub (3) stats.
- CVE-2013-7392Wysokie
Gitlist umożliwia zdalnym atakującym wykonywanie dowolnych poleceń za pomocą metaznaków powłoki w nazwie pliku do Source/.
- CVE-2026-82669Średnie
Wykryto podatność w klaussilveira GitList 2.0.0. Dotknięta jest funkcja SimpleXMLElement w pliku src/SCM/System/Git/CommandLine.php komponentu XML Parsing. Przeprowadzenie manipulacji prowadzi do odmowy usługi. Atak może być przeprowadzony zdalnie. Exploit jest teraz publiczny i może być wykorzystany. Aktualizacja do wersji 3.0.0-beta może rozwiązać ten problem. Łatka nosi nazwę f67609d52c1812fa8a7ed80eae5e795cfd72115f. Zaleca się aktualizację dotkniętego komponentu.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in klaussilveira GitList 2.0.0. Affected by this vulnerability is the function getDefaultBranch of the file src/SCM/System/Git/CommandLine.php of the component Git Command Line. Such manipulation leads to os command injection. The attack can be executed remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 3.0.0-beta addresses this issue. The name of the patch is 88cf2866083d5f7c20d9d565c45f828a7ad1516b. Upgrading the affected component is advised.