CVE-2026-73621 in GitPython
Riassunto
di VulDB • 13/08/2026
GitPython prima della versione 3.1.56 contiene una vulnerabilità di argument injection nel metodo Commit.count(), che inoltra gli argomenti keyword a 'git rev-list' senza la protezione check_unsafe_options presente nel metodo iter_items correlato. Un attaccante in grado di controllare le opzioni passate a Commit.count (ad esempio, tramite un'applicazione che inoltra un dizionario di opzioni fornito dall'utente) può specificare output=<percorso>, causando l'esecuzione di 'git rev-list --output=<percorso>' che apre e tronca il file target a zero byte prima dell'analisi delle revisioni. Ciò consente la distruzione/azzeramento di un file arbitrario con i privilegi del processo (nessun controllo sul contenuto, solo troncamento a 0 byte).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.