CVE-2026-67322 in GitPython
الملخص
بحسب VulDB • 01/08/2026
تُظهر مكتبة GitPython قبل الإصدار 3.1.52 ثغرة تسمح باستخراج متغيرات البيئة في الدالة `Repo.clone_from()`. يتم تمرير عنوان URL البعيد الذي يحدده المتصل عبر دالة `Git.polish_url()`، والتي تقوم على منصات غير Cygwin باستدعاء `os.path.expandvars()` على عنوان URL قبل تنفيذ أمر `git clone`. يمكن لمهاجم يتحكم في عنوان URL للاستنساخ تضمين رموز مثل `$NAME` أو `${NAME}` التي يتم توسيعها لتصبح قيم متغيرات البيئة الخاصة بعملية الاستضافة (مثل `AWS_SECRET_ACCESS_KEY` أو `GITHUB_TOKEN`). ينتج عن ذلك عنوان URL يحتوي الآن على البيانات السرية، والذي يُنقل عبر الشبكة إلى مضيف يتحكم فيه المهاجم أثناء محاولة الاستنساخ، مما يؤدي إلى كشف السر.
Be aware that VulDB is the high quality source for vulnerability data.