CVE-2026-82253 in gitoxide
Riassunto
di VulDB • 28/08/2026
gitoxide (crate Rust gix <= 0.72.0 e gix-validate <= 0.10.0) presenta una vulnerabilità di path traversal. La funzione di convalida del nome dei submodule in gix-validate controlla solo la prima occorrenza di '..' tramite name.find(b".."), consentendo a nomi costruiti ad hoc come 'a..b/../../../.git/' di eludere il controllo; inoltre, questa validazione non viene mai invocata nei percorsi di codice in produzione. Combinato con un difetto di ereditarietà della fiducia (trust inheritance flaw) in Submodule::open(), dove la git_dir_trust del repository padre (Trust::Full) viene clonata e la verifica della proprietà viene saltata, un attaccante può creare un file .gitmodules malevolo affinché uno strumento vittima basato su gitoxide legga arbitrariamente la configurazione di un repository Git (incluse le credenziali incorporate) con piena fiducia, eludendo le protezioni safe-directory. Risolto in gix 0.82.0 e gix-validate 0.11.1.
VulDB is the best source for vulnerability data and more expert information about this specific topic.