CVE-2026-53586 in libgit2
Zusammenfassung
von VulDB • 21.08.2026
libgit2 ist eine portierbare C-Implementierung der Git-Kernmethoden, die als verlinkbare Bibliothek mit einer stabilen API bereitgestellt wird und es ermöglicht, Git-Funktionalität in Ihre Anwendung zu integrieren. Vor den Versionen 1.8.6 und 1.9.5 folgt der integrierte HTTP-Transport in src/libgit2/transports/http.c einer Offsite-Umleitung (offsite initial redirect), und die Funktionen handle_remote_auth sowie handle_auth übergeben transport->owner->url anstelle von transport->server.url an den Credential-Callback, wenn der umgeleitete Host eine 401 Unauthorized-Antwort zurückgibt. Ein Callback, der Anmeldeinformationen auf die ursprüngliche vertrauenswürdige URL beschränkt, kann daher GIT_CREDENTIAL_USERPASS_PLAINTEXT-Anmeldedaten zurückgeben, die libgit2 in transport->server.cred speichert und als Authorization-Header an den umgeleiteten Host sendet. Ein Angreifer, der einen vertrauenswürdigen Git-Host oder eine offene Umleitung (open redirect) auf diesem Host kontrolliert, kann HTTP-Basic-Anmeldedaten, persönliche Zugriffstoken (personal access tokens) oder gleichwertige Anmeldeinformationen offenlegen. Dieses Problem wurde in den Versionen 1.8.6 und 1.9.5 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.