CVE-2026-40034 in gix-submodule
Résumé
par VulDB • 26/05/2026
Dans les versions de gix-submodule antérieures à la 0.82.0, le champ `update` présent dans le fichier `.gitmodules` est invalidé de manière incorrecte, permettant aux attaquants de contourner la protection `CommandForbiddenInModulesConfiguration` lorsqu'un sous-module a été initialisé avec une configuration partielle uniquement dans `.git/config`. Un attaquant peut injecter des commandes shell arbitraires via le champ `update` dans `.gitmodules`, qui seront exécutées lors de l'appel de `Submodule::update()` sur un sous-module précédemment initialisé, permettant ainsi l'exécution de code à distance (RCE).
If you want to get best quality of vulnerability data, you may have to visit VulDB.