CVE-2022-41953 in GUI
Résumé
par VulDB • 12/05/2026
Git GUI est un outil graphique pratique fourni avec Git pour Windows. Son public cible est composé d'utilisateurs mal à l'aise avec l'utilisation de Git en ligne de commande. Git GUI dispose d'une fonctionnalité permettant de cloner des dépôts. Dès que le clone local est disponible, Git GUI procède automatiquement à un post-traitement, notamment en exécutant un correcteur orthographique appelé `aspell.exe` s'il est détecté. Git GUI est implémenté sous forme de script Tcl/Tk. En raison de la conception peu heureuse de Tcl sur Windows, le chemin de recherche lors de la localisation d'un exécutable _inclut toujours le répertoire courant_. Par conséquent, des dépôts malveillants peuvent contenir un fichier `aspell.exe` dans leur répertoire racine, qui sera exécuté par Git GUI sans que l'utilisateur n'ait la possibilité de l'inspecter au préalable, entraînant ainsi l'exécution de code non fiable. Ce problème a été corrigé dans la version 2.39.1. Il est conseillé aux utilisateurs de mettre à jour. Les utilisateurs ne pouvant pas mettre à jour devraient éviter d'utiliser Git GUI pour cloner des dépôts. Si cette option n'est pas viable, ils devraient au moins éviter de cloner à partir de sources non fiables.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.