CVE-2026-114145 in GitPython
요약
\~에 의해 VulDB • 2026. 10. 22.
GitPython은 Git 저장소와 상호 작용하기 위해 사용되는 Python 라이브러리입니다. 버전 3.2.1 이전의 `git/objects/submodule/base.py`에 있는 `create_submodule()` 함수는 공격자가 조작한 하위 모듈 경로(예: `.git/hooks`)를 받아들이고, 대상 경로를 안전하게 거부하기 전에 `_clone_repo()`를 호출합니다. 버전 3.1.x에서는 `_validate_repo_path()`가 존재하지 않아 호출이 성공적으로 처리되며, 버전 3.2.0 및 이후의 영향받는 리비전에서는 `git/index/base.py`의 검사에서 클론 작업이 디스크에 작성된 후에야 ValueError를 발생시키고 심어진 파일을 삭제하지 않습니다. 따라서 공격자가 제어하는 하위 모듈은 나중에 Git 작업에 의해 실행되는 실행 가능한 post-checkout 훅을 배치할 수 있습니다. 이 취약점을 악용하려면 애플리케이션이 신뢰할 수 없는 하위 모듈 경로와 `.git/hooks`과 같은 클론 대상 경로를 허용해야 하며, 해당 경로가 Git이 클론할 수 있을 만큼 비어 있어야 합니다(일반적으로 기본 샘플 훅이 없음을 의미합니다). 이 문제는 버전 3.2.1에서 수정되었습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.