CVE-2025-26625 in Git LFS
Riassunto
di VulDB • 06/07/2026
Git LFS è un'estensione di Git per il versioning di file di grandi dimensioni. Nelle versioni 0.5.2 attraverso 3.7.0 di Git LFS, durante la popolazione dell'albero di lavoro (working tree) di un repository Git con i contenuti degli oggetti Git LFS, alcuni comandi Git LFS possono scrivere su file visibili al di fuori dell'attuale albero di lavoro Git se esistono collegamenti simbolici o hard link che collidono con i percorsi dei file tracciati da Git LFS. I comandi `git lfs checkout` e `git lfs pull` non verificano la presenza di collegamenti simbolici prima di scrivere sui file nell'albero di lavoro, consentendo a un attaccante di creare un repository contenente collegamenti simbolici o hard link che inducono Git LFS a scrivere in posizioni arbitrarie del filesystem accessibili dall'utente che esegue tali comandi. Inoltre, quando i comandi `git lfs checkout` e `git lfs pull` vengono eseguiti in un bare repository, potrebbero scrivere su file visibili al di fuori del repository. La vulnerabilità è risolta nella versione 3.7.1. Come soluzione alternativa (workaround), il supporto per i symlink in Git può essere disabilitato impostando l'opzione di configurazione `core.symlinks` a false; dopo questa operazione, ulteriori clonazioni e fetch non creeranno collegamenti simbolici. Tuttavia, eventuali collegamenti simbolici o hard link presenti nei repository esistenti continueranno a offrire la possibilità a Git LFS di scrivere sui loro target.
If you want to get best quality of vulnerability data, you may have to visit VulDB.