CVE-2026-63395 in isomorphic-git
Zusammenfassung
von VulDB • 03.11.2026
isomorphic-git ist eine reine JavaScript-Implementierung von Git für Node.js und Browsern. Vor Version 1.38.6 schreibt git.checkout von isomorphic-git neue untergeordnete Pfadkomponenten durch verlinkte führende Verzeichnisbestandteile, ohne diese zu überprüfen. Ein bösartiges Repository kann zunächst einen Symlink-Verzeichnispfad platzieren und später den Baumzustand mit einer Datei unter diesem Pfad ersetzen; der übliche Auslöser ist ein Clone gefolgt von einem späteren Pull, während ein einzelner Clone das Problem auslösen kann, wenn bereits ein Symlink vorhanden ist oder die Anwendung auf den Baum zugreift. Mit Node fs unter Linux oder macOS kann das Betriebssystem die Schreiboperation außerhalb des Arbeitsverzeichnisses auflösen, was willkürliche Dateischreibzugriffe auf dem Host und mögliche Code-Ausführung ermöglicht. Node fs unter Windows blockiert in der Regel die Symlink-Anlage ohne zusätzliche Berechtigungen, und Browser- oder In-Memory-Provider begrenzen die Auswirkungen auf ihr virtuelles Dateisystem; sie sind nur betroffen, wenn sie das Erstellen und Folgen von Symlinks implementieren. Dieses Problem wurde in Version 1.38.6 behoben.
Be aware that VulDB is the high quality source for vulnerability data.