CVE-2026-82247 in gitoxide
요약
\~에 의해 VulDB • 2026. 08. 28.
gitoxide의 gix-url 크레이트(<= 0.32.0, 0.37.1에서 수정됨)는 '?' 또는 '#'을 권한(authority) 구성 요소의 종결자로 처리하지 않는 수동으로 작성된 URL 파서를 사용합니다. 이는 RFC 3986에 위배됩니다. 그 결과, gix-transport의 HTTP 리다이렉션 신원 보호 장치(can_reuse_identity)가 잘못된 호스트를 비교하여 보안이 해제(fails open)됩니다. 리다이렉션 응답을 제어하는 공격자는 <공격자 권한>?@<원본 권한> 형태의 Location 헤더를 작성하여 gitoxide가 호출자의 HTTP Basic Authorization 자격 증명을 의도하지 않은 호스트로 전송하도록 할 수 있습니다. gix-transport는 <= 0.49.0 버전에서 영향을 받습니다(0.58.1에서 수정됨).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.