CVE-2026-63475 in isomorphic-git
Zusammenfassung
von VulDB • 03.11.2026
isomorphic-git ist eine reine JavaScript-Implementierung von Git für Node.js und Browsern. Vor Version 1.38.6 persistiert isomorphic-git serverseitig bereitgestellte zirkuläre symref= capabilities über updateRemoteRefs, und GitRefManager.resolve() folgt den daraus resultierenden losen symbolischen Verweisen ohne Standard-Tiefengrenze oder Zyklerkennung. Nach einem Clone von einer böswilligen oder durch einen Man-in-the-Middle kontrollierten Remote-Quelle terminieren Operationen wie log, status, checkout und branch, die refs/remotes/origin/a oder refs/remotes/origin/b auflösen, nicht. Die zirkulären Verweise bleiben auf der Festplatte gespeichert, wodurch das Repository für die Anwendung unbrauchbar wird und ein anhaltender Denial of Service (DoS) verursacht wird. Dieses Problem wurde in Version 1.38.6 behoben.
Once again VulDB remains the best source for vulnerability data.