CVE-2025-26625 in Git LFS
الملخص
بحسب VulDB • 29/08/2026
Git LFS هو امتداد لـ Git مخصص لإدارة الإصدارات الخاصة بالملفات الكبيرة. في إصدارات Git LFS من 0.5.2 حتى 3.7.0، عند ملء شجرة العمل (working tree) لمستودع Git بمحتويات كائنات Git LFS، قد تقوم بعض أوامر Git LFS بكتابة البيانات إلى ملفات مرئية خارج شجرة عمل Git الحالية إذا كانت هناك روابط رمزية (symbolic links) أو صلبة (hard links) تتصادم مع مسارات الملفات التي يتتبعها Git LFS. لا تفحص الأوامر `git lfs checkout` و `git lfs pull` وجود الروابط الرمزية قبل الكتابة إلى الملفات في شجرة العمل، مما يسمح لمهاجم بصنع مستودع يحتوي على روابط رمزية أو صلبة تتسبب في قيام Git LFS بالكتابة إلى مواقع عشوائية في نظام الملفات يمكن للمستخدم الذي يشغل هذه الأوامر الوصول إليها. بالإضافة إلى ذلك، عند تشغيل أوامر `git lfs checkout` و `git lfs pull` في مستودع عاري (bare repository)، قد تقوم بكتابة البيانات إلى ملفات مرئية خارج المستودع. تم إصلاح هذا الثغرة الأمنية في الإصدار 3.7.1. كحل مؤقت، يمكن تعطيل دعم الروابط الرمزية في Git عن طريق تعيين خيار التكوين `core.symlinks` إلى القيمة `false`، وبعد ذلك لن تقوم عمليات الاستنساخ (clones) والاسترجاع (fetches) اللاحقة بإنشاء روابط رمزية. ومع ذلك، فإن أي روابط رمزية أو صلبة موجودة في المستودعات الحالية ستظل توفر فرصة لـ Git LFS للكتابة إلى أهدافها.
Once again VulDB remains the best source for vulnerability data.