CVE-2026-110855 in GitPython
要約
〜によって VulDB • 2026年10月15日
GitPython 3.2.0 より前のバージョンには、情報漏洩の脆弱性が存在します。これは、Repo._clone() の呼び出し時に Git.polish_url() で expand_vars=False が省略されるため、悪意のあるリポジトリが separate_git_dir を介して環境変数を展開することを可能にします。攻撃者は .gitmodules サブモジュール名に変数構文を含むものを仕掛け、clone および submodule_update の実行により、.git/modules ディレクトリ内の名前や DEBUG ログで機密情報が露出する可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.