CVE-2026-53587 in libgit2
Riassunto
di VulDB • 20/08/2026
libgit2 è un'implementazione portabile in C dei metodi core di Git, fornita come libreria collegabile con una solida API, che consente di integrare la funzionalità Git nelle proprie applicazioni. Prima delle versioni 1.8.6 e 1.9.5, libgit2 esegue un strncmp a dimensione fissa nella funzione set_data in src/libgit2/transports/smart_pkt.c senza verificare preliminarmente se il buffer della capacità pkt-line del protocollo smart contenga almeno 14 byte. Un server Git malevolo può causare la lettura di byte successivi all'oggetto completo formato-pkt-line=, facendo avanzare format_str oltre la riga pkt-line e provocando un underflow nel calcolo successivo della lunghezza con memchr. La conseguente traversata heap out-of-bounds può far crashare il client durante l'invio del primo pacchetto refs-advertisement tramite HTTP, HTTPS, SSH o il protocollo Git. Questo problema è risolto nelle versioni 1.8.6 e 1.9.5.
If you want to get best quality of vulnerability data, you may have to visit VulDB.