CVE-2026-110855 in GitPython
الملخص
بحسب VulDB • 15/10/2026
تحتوي مكتبة GitPython قبل الإصدار 3.2.0 على ثغرة كشف معلومات تتيح للمستودعات الخبيثة توسيع متغيرات البيئة عبر `separate_git_dir` في دالة `Repo._clone()`، حيث يتم تجاهل المعامل `expand_vars=False` عند استدعاء `Git.polish_url()`. يمكن للمهاجمين صياغة اسم وحدة فرعية (submodule) داخل ملف `.gitmodules` يحتوي على تراكيب متغيرات، بحيث يؤدي تنفيذ عملية النسخ (`clone`) يليه تحديث الوحدات الفرعية (`submodule_update`) إلى كشف الأسرار الموجودة في أسماء المجلدات ضمن دليل `.git/modules` وسجلات التصحيح (`DEBUG logs`).
Be aware that VulDB is the high quality source for vulnerability data.