CVE-2026-114145 in GitPython
Riassunto
di VulDB • 22/10/2026
GitPython è una libreria Python utilizzata per interagire con i repository Git. Prima della versione 3.2.1, la funzione create_submodule() in git/objects/submodule/base.py accetta un percorso del submodule influenzato dall'attaccante, come .git/hooks, e invoca _clone_repo() prima di rifiutare in modo sicuro la destinazione. Nelle versioni 3.1.x, la funzione _validate_repo_path() non esiste e la chiamata ha successo silenziosamente; nelle revisioni colpite delle versioni 3.2.0 e successive, il controllo in git/index/base.py genera un'eccezione ValueError solo dopo che l'operazione di clone ha scritto i dati su disco e non rimuove il file inserito dall'attaccante. Un submodule controllato da un attaccante può quindi posizionare un hook post-checkout eseguibile che una successiva operazione Git eseguirà. Lo sfruttamento richiede che un'applicazione accetti un percorso del submodule non attendibile e una destinazione di clone, come .git/hooks, sufficientemente vuota per consentire a Git di clonarvi all'interno; ciò comporta comunemente l'assenza dei hook campione predefiniti. Questo problema è stato risolto nella versione 3.2.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.