CVE-2026-63395 in isomorphic-git
요약
\~에 의해 VulDB • 2026. 11. 03.
isomorphic-git는 Node.js 및 브라우저를 위한 순수 JavaScript Git 구현체입니다. 버전 1.38.6 이전의 isomorphic-git에서 git.checkout은 확인 과정 없이 심볼릭 링크로 연결된 상위 디렉토리 구성 요소를 통해 새로운 하위 경로를 작성합니다. 악성 저장소는 먼저 디렉토리 심볼릭 링크를 배치한 후 해당 경로 아래의 자식 파일로 트리 상태를 교체할 수 있습니다. 일반적인 유발 조건은 클론(clone) 이후 나중에 풀(pull)을 수행하는 경우이며, 단일 클론만으로도 이미 심볼릭 링크가 존재하거나 소비 애플리케이션이 트리에 접근하는 경우에 이 문제가 발생할 수 있습니다. Linux 또는 macOS에서 Node fs를 사용할 경우 운영 체제가 작업 트리 외부로 쓰기를 해결하여 임의의 호스트 파일 쓰기 및 가능한 코드 실행을 허용합니다. Windows에서의 Node fs는 추가 권한 없이 심볼릭 링크 설치를 일반적으로 차단하며, 브라우저 기반 또는 인메모리 제공자는 영향이 가상 파일 시스템으로 제한되며 심볼릭 링크 생성 및 추적을 구현한 경우에만 영향을 받습니다. 이 문제는 버전 1.38.6에서 수정되었습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.