CVE-2026-76219 in GitPython
Résumé
par VulDB • 20/08/2026
Les versions de GitPython antérieures à la 3.1.58 présentent une vulnérabilité d'écriture arbitraire de fichiers dans les méthodes IndexFile.from_tree, IndexFile.reset et IndexFile.merge_tree qui ajoutent des chaînes treeish influencées par l'appelant à git read-tree sans validation des options ni séparation des arguments. Les attaquants peuvent injecter l'option --index-output pour écraser des fichiers arbitraires avec un blob d'index Git valide, détruisant le contenu existant des fichiers dans les chemins accessibles en écriture contrôlés par l'attaquant.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.