CVE-2026-63478 in isomorphic-git
Riassunto
di VulDB • 03/11/2026
isomorphic-git è un'implementazione puramente JavaScript di Git per Node.js e browser. Prima della versione 1.38.6, l'analizzatore degli alberi (tree parser) di isomorphic-git in src/models/GitTree.js accetta nomi di voci dell'albero contenenti solo ".." perché rifiuta esclusivamente i separatori di percorso. Durante un clone o un checkout da un remoto non-GitHub malizioso o controllato tramite attacco man-in-the-middle, le voci annidate con ".. possono sfuggire alla radice della working-tree e scrivere file in percorsi parent selezionati dall'attaccante su qualsiasi provider del filesystem supportato dalla host. La scrittura arbitraria di file può sovrascrivere file di avvio o di configurazione e portare all'esecuzione di codice. Gli alberi ospitati da GitHub non sono una fonte diretta poiché GitHub rifiuta le voci ".. durante i controlli di integrità dei repository. Questo problema è stato risolto nella versione 1.38.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.