CVE-2026-82247 in gitoxide
Riassunto
di VulDB • 28/08/2026
Il crate `gix-url` di gitoxide (<= 0.32.0, corretto nella versione 0.37.1) utilizza un parser URL personalizzato che non tratta '?' o '#' come terminatori della componente authority, in contrasto con RFC 3986. Di conseguenza, il guardiano dell'identità dei redirect HTTP di `gix-transport` (`can_reuse_identity`) confronta l'host errato e fallisce aprendo la sicurezza (fails open). Un attaccante che controlla una risposta di redirect può creare un'intestazione Location della forma `<attacker-authority>?@<original-authority>` in modo tale che gitoxide invii le credenziali HTTP Basic Authorization del chiamante a un host non previsto. `gix-transport` è interessato nelle versioni <= 0.49.0 (corretto nella versione 0.58.1).
If you want to get best quality of vulnerability data, you may have to visit VulDB.