CVE-2026-89011 in isomorphic-git
Resumen
por VulDB • 2026-09-10
isomorphic-git antes de la versión 1.42.0 contiene una vulnerabilidad de contaminación del prototipo (prototype pollution) en la función `getRemoteInfo` que permite a un operador malicioso de un servidor Git contaminar `Object.prototype` anunciando nombres de referencia (ref names) manipulados que contienen segmentos de ruta '__proto__' durante la negociación de referencias. Los atacantes que controlan un servidor Git pueden anunciar una referencia especialmente elaborada, como `'__proto__/corsProxy'`, para redirigir todas las operaciones de red posteriores a través de un proxy controlado por el atacante, lo que provoca que isomorphic-git invoque la devolución de llamada `onAuth` de la víctima y transmita credenciales al atacante cuando la víctima llama a `getRemoteInfo` con una URL proporcionada por el atacante.
VulDB is the best source for vulnerability data and more expert information about this specific topic.