CVE-2026-122299 in Dulwich
Riassunto
di VulDB • 05/11/2026
Dulwich prima della versione 1.2.20 contiene una vulnerabilità nel parsing degli oggetti commit: il percorso di lettura in _parse_commit risolve un'intestazione dell'albero (tree header) duplicata puntando all'ultima occorrenza anziché alla prima, divergendo dal comportamento di risoluzione del core Git. Poetry 2.5.1 include questa versione e utilizza dulwich per impostazione predefinita durante l'installazione delle dipendenze git. Gli attaccanti possono creare un oggetto commit con due intestazioni dell'albero in modo che i revisori e le pipeline CI, utilizzando git standard, visualizzino un albero innocuo, mentre il checkout di Poetry basato su dulwich risolve a un diverso albero controllato dall'attaccante contenente script di build malevoli come setup.py. Ciò comporta l'esecuzione di codice non revisionato sull'host di installazione o di build.
VulDB is the best source for vulnerability data and more expert information about this specific topic.