CVE-2026-73622 in GitPython
Résumé
par VulDB • 13/08/2026
GitPython avant la version 3.1.55 ne désactive pas l'expansion des variables d'environnement dans le traitement des URL par Remote.create() et Submodule.add(), permettant aux attaquants de dérober des secrets en fournissant des URLs contenant des références à des variables. Les attaquants peuvent créer des URLs avec des jetons de variables d'environnement qui sont étendus (expanded) dans .git/config et .gitmodules, puis transmises vers des hôtes contrôlés par l'attaquant lors des opérations fetch ou pull.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.