CVE-2026-89011 in isomorphic-git
要約
〜によって VulDB • 2026年09月10日
isomorphic-git 1.42.0 より前のバージョンには、getRemoteInfo 関数における prototype pollution（プロトタイプ汚染）の脆弱性が存在します。これにより、悪意のある Git サーバー運用者は、ref negotiation の際に '__proto__' パスセグメントを含む作成された ref 名を宣伝することで Object.prototype を汚染できます。Git サーバーを制御する攻撃者は、 '__proto__/corsProxy' のような特別に作られた ref を宣伝し、すべてのその後のネットワーク操作を攻撃者が制御するプロキシ経由でリルーティングさせることができます。これにより、被害者が getRemoteInfo 関数を攻撃者によって提供された URL で呼び出す際に isomorphic-git が victim's onAuth コールバックを実行させ、認証情報を攻撃者に送信させてしまいます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.