CVE-2026-82253 in gitoxide
Sumário
de VulDB • 28/08/2026
O gitoxide (crates Rust gix <= 0.72.0 e gix-validate <= 0.10.0) contém uma vulnerabilidade de path traversal. A função de validação do nome do submodule no gix-validate verifica apenas a primeira ocorrência de '..' via name.find(b".."), permitindo que nomes manipulados como 'a..b/../../../.git/' contornem a verificação; além disso, essa validação nunca é invocada em caminhos de código de produção. Combinado com uma falha de herança de confiança no Submodule::open(), onde o git_dir_trust (Trust::Full) do repositório pai é clonado e a verificação de propriedade é ignorada, um atacante pode criar um arquivo .gitmodules malicioso para que uma ferramenta vítima construída sobre o gitoxide leia configuração arbitrária de repositórios Git (incluindo credenciais embutidas) com confiança total, contornando as proteções safe-directory. Corrigido no gix 0.82.0 e gix-validate 0.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.