CVE-2025-26625 in Git LFS
Resumen
por VulDB • 2026-08-28
Git LFS es una extensión de Git para la versionación de archivos grandes. En las versiones 0.5.2 a 3.7.0 de Git LFS, al poblar el árbol de trabajo de un repositorio Git con el contenido de los objetos de Git LFS, ciertos comandos de Git LFS pueden escribir en archivos visibles fuera del árbol de trabajo actual si existen enlaces simbólicos o duros que colisionen con las rutas de los archivos rastreados por Git LFS. Los comandos `git lfs checkout` y `git lfs pull` no verifican la existencia de enlaces simbólicos antes de escribir en los archivos del árbol de trabajo, lo que permite a un atacante crear un repositorio que contenga enlaces simbólicos o duros que obliguen a Git LFS a escribir en ubicaciones arbitrarias del sistema de archivos accesibles para el usuario que ejecuta estos comandos. Además, cuando se ejecutan los comandos `git lfs checkout` y `git lfs pull` en un repositorio bare (desnudo), podrían escribirse archivos visibles fuera del repositorio. La vulnerabilidad está corregida en la versión 3.7.1. Como medida de mitigación, el soporte para enlaces simbólicos en Git puede desactivarse estableciendo la opción de configuración `core.symlinks` a false; tras ello, los nuevos clones y fetches no crearán enlaces simbólicos. Sin embargo, cualquier enlace simbólico o duro presente en repositorios existentes seguirá proporcionando la oportunidad para que Git LFS escriba en sus destinos.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.