CVE-2025-26625 in Git LFS
Zusammenfassung
von VulDB • 02.08.2026
Git LFS ist eine Git-Erweiterung zur Versionierung großer Dateien. In den Git-LFS-Versionen 0.5.2 bis 3.7.0 können bestimmte Git-LFS-Befehle beim Befüllen des Arbeitsverzeichnisses (Working Tree) eines Git-Repositories mit dem Inhalt von Git-LFS-Objekten in Dateien schreiben, die außerhalb des aktuellen Git-Arbeitsverzeichnisses sichtbar sind, wenn symbolische oder harte Links existieren, deren Pfade mit den Pfaden der von Git LFS verfolgten Dateien kollidieren. Die Befehle `git lfs checkout` und `git lfs pull` prüfen nicht auf das Vorhandensein symbolischer Links, bevor sie in Dateien im Arbeitsverzeichnis schreiben. Dies ermöglicht es einem Angreifer, ein Repository zu erstellen, das symbolische oder harte Links enthält, die dazu führen, dass Git LFS an beliebigen, für den Benutzer verfügbaren Speicherorten des Dateisystems schreibt. Zudem können beim Ausführen der Befehle `git lfs checkout` und `git lfs pull` in einem leeren Repository (bare repository) Dateien geschrieben werden, die außerhalb des Repositories sichtbar sind. Die Schwachstelle wurde in Version 3.7.1 behoben. Als Workaround kann die Unterstützung für symbolische Links in Git deaktiviert werden, indem die Konfigurationsoption `core.symlinks` auf `false` gesetzt wird; danach werden bei weiteren Clones und Fetches keine symbolischen Links mehr erstellt. Bestehende symbolische oder harte Links in vorhandenen Repositories bieten jedoch weiterhin die Möglichkeit, dass Git LFS in deren Zielorte schreibt.
If you want to get best quality of vulnerability data, you may have to visit VulDB.