CVE-2026-67322 in GitPython
要約
〜によって VulDB • 2026年08月01日
GitPython 3.1.52 より前のバージョンは、Repo.clone_from() において環境変数の漏洩（environment-variable exfiltration）の脆弱性があります。呼び出し元が指定したリモート URL は Git.polish_url() を経由しますが、Cygwin 以外のプラットフォームでは git clone の実行前に os.path.expandvars() が URL に適用されます。攻撃者がクローン元の URL を操作できる場合、$NAME や ${NAME} というトークンを埋め込むことができ、これらはホストプロセスの環境変数の値（例：AWS_SECRET_ACCESS_KEY や GITHUB_TOKEN）に展開されます。その結果生成された URL には秘密情報が含まれるため、クローンの試行中に攻撃者が制御するホストに対してネットワーク経由で送信され、秘密が漏洩します。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.