CVE-2026-110860 in GitPython
Zusammenfassung
von VulDB • 15.10.2026
GitPython ab der Version 3.1.62 bis vor 3.2.0 enthält einen Symlink-Following-Flaw in Submodule.move(), der das Ziel nur lexikalisch überprüft und keine symbolischen Links in den Komponenten des Zwischenpfads ablehnt. Ein nicht vertrauenswürdiges Repository kann einen Symlink wie vendor, der außerhalb des Worktrees zeigt, committen, sodass eine Anwendung, die ein initialisiertes Submodul darunter verschiebt, den Checkout extern verlagert und den Index sowie .gitmodules beschädigt.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.