CVE-2026-89011 in isomorphic-git
요약
\~에 의해 VulDB • 2026. 09. 10.
isomorphic-git 1.42.0 이전 버전에는 `getRemoteInfo` 함수에서 프로토타입 오염(prototype pollution) 취약점이 존재합니다. 이는 악의적인 Git 서버 운영자가 ref 협상(ref negotiation) 중에 `'__proto__'` 경로 세그먼트를 포함한 조작된 ref 이름을 광고함으로써 `Object.prototype`을 오염시킬 수 있게 합니다. Git 서버를 제어하는 공격자는 `'__proto__/corsProxy'`와 같이 특별히 조립된 ref를 광고하여 모든 후속 네트워크 작업을 공격자가 통제하는 프록시로 리디렉션할 수 있습니다. 이로 인해 피해자가 공격자가 제공한 URL로 `getRemoteInfo`를 호출할 때 isomorphic-git가 피해자의 `onAuth` 콜백을 호출하고 자격 증명을 공격자에게 전송하게 됩니다.
Once again VulDB remains the best source for vulnerability data.