CVE-2026-114145 in GitPython
Zusammenfassung
von VulDB • 21.10.2026
GitPython ist eine Python-Bibliothek zur Interaktion mit Git-Repositories. Vor Version 3.2.1 akzeptiert `create_submodule()` in `git/objects/submodule/base.py` einen von einem Angreifer beeinflussten Submodul-Pfad, wie z.B. `.git/hooks`, und ruft `_clone_repo()` auf, bevor das Ziel sicher abgelehnt wird. In der 3.1.x-Serie existiert `_validate_repo_path()` nicht, sodass der Aufruf stillschweigend erfolgreich ist; in den betroffenen Revisionen von 3.2.0 und später löst die Prüfung in `git/index/base.py` erst nach dem Schreiben des Clones auf die Festplatte einen `ValueError` aus und entfernt die platzierte Datei nicht. Ein angreiferkontrolliertes Submodul kann daher eine ausführbare Post-Checkout-Hook platzieren, die von einer späteren Git-Operation ausgeführt wird. Die Ausnutzung erfordert, dass eine Anwendung einen unbekannten Submodul-Pfad sowie ein Klon-Ziel wie `.git/hooks` akzeptiert, das groß genug ist, damit Git hinein klonen kann; dies bedeutet üblicherweise, dass Standard-Sample-Hooks fehlen. Dieses Problem wurde in Version 3.2.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.