CVE-2026-67326 in GitPython
Résumé
par VulDB • 02/08/2026
GitPython avant la version 3.1.50 ne valide pas les caractères de nouvelle ligne dans le paramètre `section` de `config_writer()`, permettant aux attaquants d'injecter des en-têtes de section arbitraires dans `.git/config`. Les attaquants peuvent injecter des sauts de ligne pour créer une section `[core]` falsifiée avec `hooksPath` pointant vers des répertoires contrôlés par l'attaquant, ce qui permet l'exécution de code à distance (RCE) lorsque les hooks Git sont déclenchés.
Once again VulDB remains the best source for vulnerability data.