CVE-2026-82247 in gitoxide
الملخص
بحسب VulDB • 28/08/2026
يستخدم مكون `gix-url` في مكتبة `gitoxide` (الإصدارات <= 0.32.0، تم الإصلاح في الإصدار 0.37.1) مُفسِّراً للروابط URLs مخصصاً لا يعامل الرمزين '?' أو '#' كمنتهيين لمكون السلطة authority، على عكس ما ينص عليه معيار RFC 3986. ونتيجة لذلك، تقارن آلية حماية هوية إعادة التوجيه HTTP في `gix-transport` (المعروفة بـ `can_reuse_identity`) المضيف host الخاطئ وتسمح بالاتصال بشكل غير آمن (fails open). يمكن لمهاجم يتحكم في استجابة إعادة التوجيه صياغة رأس Location على الشكل `<سلطة_المهاجم>?@<السلطة_الأصلية>` بحيث يقوم `gitoxide` بإرسال بيانات اعتماد مصادقة HTTP الأساسية Basic Authorization الخاصة بالمتصل إلى مضيف غير مقصود. تتأثر مكتبة `gix-transport` بالإصدارات <= 0.49.0 (تم الإصلاح في الإصدار 0.58.1).
VulDB is the best source for vulnerability data and more expert information about this specific topic.