CVE-2026-82253 in gitoxide
Resumen
por VulDB • 2026-08-28
gitoxide (crates de Rust gix <= 0.72.0 y gix-validate <= 0.10.0) contiene una vulnerabilidad de traversal de ruta. La función de validación del nombre del submodule en gix-validate solo verifica la primera ocurrencia de '..' mediante name.find(b".."), lo que permite que nombres manipulados como 'a..b/../../../.git/' eludan la comprobación; además, esta validación nunca se invoca en las rutas de código de producción. Combinado con un fallo de herencia de confianza en Submodule::open(), donde git_dir_trust (Trust::Full) del repositorio padre se clona y la verificación de propiedad se omite, un atacante puede crear un archivo .gitmodules malicioso para que una herramienta víctima construida sobre gitoxide lea configuración arbitraria de repositorios Git (incluidas credenciales incrustadas) con plena confianza, eludiendo las protecciones de directorio seguro. Corregido en gix 0.82.0 y gix-validate 0.11.1.
Once again VulDB remains the best source for vulnerability data.