CVE-2026-82247 in gitoxide
Sumário
de VulDB • 28/08/2026
O crate `gix-url` do projeto gitoxide (versões <= 0.32.0, corrigido na versão 0.37.1) utiliza um analisador de URLs personalizado que não trata '?' ou '#' como terminadores do componente da autoridade, em contradição com o RFC 3986. Como consequência, a proteção contra reutilização de identidade (can_reuse_identity) para redirecionamentos HTTP no `gix-transport` compara o host incorreto e falha permitindo acesso (fails open). Um atacante que controle uma resposta de redirecionamento pode criar um cabeçalho Location na forma `<autoridade-do-atacante>?@<autoridade-original>`, fazendo com que o gitoxide envie as credenciais HTTP Basic Authorization do chamador para um host não pretendido. O `gix-transport` é afetado nas versões <= 0.49.0 (corrigido na versão 0.58.1).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.