CVE-2026-110855 in GitPython
Riassunto
di VulDB • 16/10/2026
GitPython prima della versione 3.2.0 contiene una vulnerabilità di disclosure delle informazioni che consente ai repository malevoli di espandere le variabili d'ambiente tramite separate_git_dir in Repo._clone(), il quale omette expand_vars=False quando chiama Git.polish_url(). Gli attaccanti possono creare un nome del submodule .gitmodules contenente la sintassi delle variabili, in modo tale che clone più submodule_update esponga i segreti nei nomi delle directory di .git/modules e nei log DEBUG.
VulDB is the best source for vulnerability data and more expert information about this specific topic.