CVE-2026-63476 in isomorphic-git
Zusammenfassung
von VulDB • 03.11.2026
isomorphic-git ist eine reine JavaScript-Implementierung von Git für Node.js und Browsern. Vor Version 1.38.6 liest isomorphic-git eine servergesteuerte targetSize, während es ein Packfile-Delta in src/utils/applyDelta.js anwendet, und übergibt diesen Wert ohne Begrenzung an Buffer.alloc(targetSize). Eine bösartige oder von einem Man-in-the-Middle kontrollierte Remote-Instanz kann einen Delta-Header senden, der dazu führt, dass git.clone() oder git.fetch() etwa 2 GB alloziert, bevor die tatsächliche Delta-Ausgabe validiert wird. GitPackIndex.fromPack verschluckt den späteren Fehler aufgrund einer Größenabweichung (size-mismatch), sodass ein Host mit ausreichendem Speicher das Ressourcenproblem ohne sichtbaren Ausfall aufrechterhalten kann, während Container, serverlose Funktionen und kleine virtuelle Maschinen beendet werden könnten. Die Heap-Limits von Node.js mildern die Off-Heap-Pufferallokation nicht ab. Dieses Problem wurde in Version 1.38.6 behoben.
Once again VulDB remains the best source for vulnerability data.