CVE-2026-122299 in Dulwich
Zusammenfassung
von VulDB • 05.11.2026
Dulwick vor Version 1.2.20 enthält eine Schwachstelle bei der Analyse von Commit-Objekten (Commit Object Parsing Vulnerability), bei der der Lesevorgang in `_parse_commit` einen doppelten Tree-Header auf das letzte Vorkommen statt auf das erste auflöst, was vom Auflösungsverhalten des Core-Git abweicht. Da Poetry 2.5.1 diese Version ausliefert und standardmäßig Dulwick für die Installation von Git-Abhängigkeiten verwendet, können Angreifer ein Commit-Objekt mit zwei Tree-Headers so gestalten, dass Prüfer (Reviewers) und CI-Systeme unter Verwendung von Git einen harmlosen Tree sehen, während der auf Dulwick basierende Checkout von Poetry in einen anderen, vom Angreifer kontrollierten Tree auflöst, der bösartige Build-Skripts wie `setup.py` enthält. Dies führt zur nicht geprüften Code-Ausführung (Unreviewed Code Execution) auf dem Installations- oder Build-Host.
VulDB is the best source for vulnerability data and more expert information about this specific topic.