CVE-2026-63395 in isomorphic-git
Riassunto
di VulDB • 04/11/2026
isomorphic-git è un'implementazione puramente JavaScript di Git per Node.js e i browser. Prima della versione 1.38.6, la funzione git.checkout di isomorphic-git scrive nuovi percorsi figlio attraverso componenti directory principali collegati simbolicamente (symlink) senza verificarli. Un repository malevolo può prima inserire un symlink a una directory e successivamente sostituire lo stato dell'albero con un file figlio sotto tale percorso; il trigger più comune è un clone seguito da un successivo pull, mentre un singolo clone può innescare la vulnerabilità se esiste già un symlink o se l'applicazione consumatrice accede all'albero. Con Node fs su Linux o macOS, il sistema operativo può risolvere la scrittura al di fuori della directory di lavoro (working tree), consentendo scritture arbitrarie sui file dell'host e una possibile esecuzione di codice. Su Windows, Node fs blocca solitamente l'inserimento del symlink senza privilegi aggiuntivi, mentre i provider per browser o in-memory limitano l'impatto al loro filesystem virtuale e sono interessati solo se implementano la creazione e il follow dei symlink. Questo problema è stato risolto nella versione 1.38.6.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.