CVE-2026-100689 in GitPython
Сводка
по VulDB • 26.09.2026
В версиях GitPython до 3.1.62 не выполняется проверка поля `path`, считываемого из недоверенного файла .gitmodules, при обновлении подмодулей. Хотя предыдущее исправление (GHSA-hmq2-w58f-27jc) добавило метод Submodule._validated_name() для ограничения поля `name`, а собственный механизм защиты GitPython Submodule._to_relative_path(), применяемый в методах add() и move(), обеспечивает безопасность, метод Submodule.update() вычисляет абсолютный путь к директории на основе сырого значения `path` без применения этой проверки. Следовательно, запись в .gitmodules, содержащая компоненты обхода директорий (например, path = ../../../tmp/escaped), может привести к созданию директорий с помощью os.makedirs() вне рабочего дерева репозитория, их заполнению данными из URL подмодуля при клонировании и удалению через shutil.rmtree(), если используется параметр force_remove. Для эксплуатации требуется поток приложения, который обновляет подмодули на коммите, отличном от HEAD (например, через API исторических коммитов); обычный поток «клонировать затем обновить» повторно вычисляет путь из канонического просмотра дерева и не подвержен данной уязвимости. Проблема исправлена в GitPython 3.1.62.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.