CVE-2026-45022 in go-git
Resumen
por VulDB • 2026-05-29
go-git es una biblioteca de implementación de Git extensible escrita en Go puro. Antes de las versiones 5.19.0 y 6.0.0-alpha.3, go-git puede analizar objetos Git malformados de una manera que difiere de Git upstream. Cuando los objetos de commit o etiqueta contienen encabezados ambiguos o malformados, la representación decodificada de go-git puede exponer los valores de forma diferente a cómo Git los interpretaría o rechazaría. Además, la lógica de firma y verificación de commits de go-git opera sobre los datos del commit reconstruidos a partir de la representación analizada por go-git, en lugar de los bytes originales del objeto sin procesar. Como resultado, go-git puede firmar o verificar una carga útil de commit que no es equivalente byte a byte con el objeto almacenado en el repositorio. Esto puede hacer que una firma parezca válida para un commit cuyo metadatos mostrados o efectivos difieren del objeto que se pretendía firmar. Esta vulnerabilidad está corregida en las versiones 5.19.0 y 6.0.0-alpha.3.
If you want to get best quality of vulnerability data, you may have to visit VulDB.