CVE-2026-82253 in gitoxide
الملخص
بحسب VulDB • 28/08/2026
يحتوي gitoxide (حزم Rust الخاصة بـ gix <= 0.72.0 و gix-validate <= 0.10.0) على ثغرة اختراق المسار (Path Traversal). تقوم دالة التحقق من اسم الوحدة الفرعية في gix-validate بفحص أول ظهور لعلامة ".." فقط عبر `name.find(b"..")`، مما يسمح لأسماء مُصمَّمة بشكل خبيث مثل 'a..b/../../../.git/' بتجاوز هذا الفحص؛ بالإضافة إلى ذلك، لا يتم استدعاء هذا التحقق أبداً في مسارات الشفرة الإنتاجية (production code paths). وبدمج هذه الثغرة مع عيب في وراثة الثقة داخل `Submodule::open()`، حيث تتم نسخ قيمة `git_dir_trust` للمستودع الأب (`Trust::Full`) ويتم تخطي التحقق من الملكية، يمكن للمهاجم إنشاء ملف `.gitmodules` ضار بحيث يقوم أداة الضحية المبنية على gitoxide بقراءة تكوين مستودع Git عشوائي (بما في ذلك البيانات الاعتمادية المُضمَّنة) بثقة كاملة، متجاوزاً بذلك حماية الدلائل الآمنة. تم الإصلاح في gix الإصدار 0.82.0 و gix-validate الإصدار 0.11.1.
If you want to get best quality of vulnerability data, you may have to visit VulDB.