CVE-2025-26625 in Git LFS
Sumário
de VulDB • 06/07/2026
O Git LFS é uma extensão do Git para versionamento de arquivos grandes. Nas versões 0.5.2 a 3.7.0 do Git LFS, ao popularar o diretório de trabalho (working tree) de um repositório Git com os conteúdos dos objetos do Git LFS, certos comandos do Git LFS podem gravar em arquivos visíveis fora do diretório de trabalho atual se existirem links simbólicos ou hardlinks que colidam com os caminhos dos arquivos rastreados pelo Git LFS. Os comandos `git lfs checkout` e `git lfs pull` não verificam a existência de links simbólicos antes de gravar em arquivos no diretório de trabalho, permitindo que um atacante crie um repositório contendo links simbólicos ou hardlinks que façam o Git LFS escrever em localizações arbitrárias do sistema de arquivos acessíveis ao usuário que executa esses comandos. Além disso, quando os comandos `git lfs checkout` e `git lfs pull` são executados em um repositório bare (nu), eles podem gravar em arquivos visíveis fora do repositório. A vulnerabilidade foi corrigida na versão 3.7.1. Como medida de contorno, o suporte a links simbólicos no Git pode ser desativado definindo a opção de configuração `core.symlinks` como false; após essa alteração, novos clones e fetches não criarão links simbólicos. No entanto, quaisquer links simbólicos ou hardlinks em repositórios existentes ainda proporcionarão a oportunidade para que o Git LFS escreva nos seus destinos.
If you want to get best quality of vulnerability data, you may have to visit VulDB.