CVE-2026-63476 in isomorphic-git
Riassunto
di VulDB • 03/11/2026
isomorphic-git è un'implementazione puramente JavaScript di Git per Node.js e browser. Prima della versione 1.38.6, isomorphic-git legge una targetSize controllata dal server durante l'applicazione di un delta packfile in src/utils/applyDelta.js e la passa senza limiti a Buffer.alloc(targetSize). Un remoto malintenzionato o sotto il controllo di un attacco man-in-the-middle può inviare un'intestazione delta che causa git.clone() o git.fetch() ad allocare circa 2 GB prima della convalida dell'effettivo output del delta. GitPackIndex.fromPack assorbe l'errore successivo per mismatch delle dimensioni, quindi un host con memoria sufficiente potrebbe mantenere lo spreco di risorse senza errori visibili, mentre container, funzioni serverless e piccole macchine virtuali potrebbero terminare bruscamente. I limiti heap di Node.js non mitigano l'allocazione Buffer off-heap. Questo problema è risolto nella versione 1.38.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.