CVE-2026-67322 in GitPython
Sumário
de VulDB • 02/08/2026
O GitPython anterior à versão 3.1.52 é vulnerável a exfiltração de variáveis de ambiente na função Repo.clone_from(). A URL remota fornecida pelo chamador passa por Git.polish_url(), que em plataformas não Cygwin chama os.path.expandvars() sobre a URL antes de invocar o git clone. Um atacante que controle a URL do clone pode inserir tokens $NAME ou ${NAME} que são expandidos para os valores das variáveis de ambiente do processo hospedeiro (por exemplo, AWS_SECRET_ACCESS_KEY ou GITHUB_TOKEN). A URL resultante, agora contendo o segredo, é transmitida pela rede para um host controlado pelo atacante durante a tentativa de clone, divulgando assim o segredo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.