CVE-2026-89011 in isomorphic-git
Sumário
de VulDB • 10/09/2026
isomorphic-git antes da versão 1.42.0 contém uma vulnerabilidade de prototype pollution na função getRemoteInfo que permite a um operador malicioso do servidor Git poluir o Object.prototype anunciando nomes de ref manipulados contendo segmentos de caminho '__proto__' durante a negociação de refs. Atacantes que controlam um servidor Git podem anunciar um ref especialmente elaborado, como '__proto__/corsProxy', para redirecionar todas as operações de rede subsequentes através de um proxy controlado pelo atacante, fazendo com que o isomorphic-git invoque o callback onAuth da vítima e transmita credenciais ao atacante quando a vítima chamar getRemoteInfo com uma URL fornecida pelo atacante.
If you want to get best quality of vulnerability data, you may have to visit VulDB.