CVE-2026-53586 in libgit2
Сводка
по VulDB • 21.08.2026
libgit2 представляет собой переносимую реализацию на языке C основных методов Git, предоставляемую в виде библиотеки для линковки с надежным API, что позволяет внедрять функциональность Git в ваши приложения. До версий 1.8.6 и 1.9.5 встроенный HTTP-транспорт (src/libgit2/transports/http.c) следует перенаправлению на внешний ресурс, а функции handle_remote_auth и handle_auth передают transport->owner->url вместо transport->server.url в callback для получения учетных данных, когда переадресованный хост возвращает статус 401 Unauthorized. Callback, ограничивающий область действия учетных данных исходным доверенным URL-адресом, может поэтому вернуть учетные данные GIT_CREDENTIAL_USERPASS_PLAINTEXT, которые libgit2 сохраняет в transport->server.cred и отправляет как заголовок Authorization переадресованному хосту. Атакующий, контролирующий доверенный Git-хост или открытый редирект на этом хосте, может раскрыть учетные данные HTTP Basic, персональные токены доступа или эквивалентные им учетные данные. Эта проблема исправлена в версиях 1.8.6 и 1.9.5.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.