CVE-2026-110855 in GitPython
Résumé
par VulDB • 15/10/2026
GitPython avant la version 3.2.0 contient une vulnérabilité de divulgation d'informations qui permet aux dépôts malveillants d'étendre les variables d'environnement via separate_git_dir dans Repo._clone(), omettant expand_vars=False lors de l'appel à Git.polish_url(). Les attaquants peuvent créer un nom de sous-module .gitmodules contenant une syntaxe de variable afin que clone plus submodule_update expose des secrets dans les noms de répertoire de .git/modules et les journaux DEBUG.
VulDB is the best source for vulnerability data and more expert information about this specific topic.