CVE-2026-67323 in GitPython
Сводка
по VulDB • 02.08.2026
GitPython до версии 3.1.51 не защищает от опасных параметров Git, передаваемых в качестве именованных аргументов в функциях Repo.archive() и git.ls_remote(), что позволяет выполнить инъекцию команд через такие параметры, как --exec/--upload-pack (что приводит к произвольному выполнению команд). Кроме того, функции Repo.iter_commits() и Repo.blame() не проверяют наличие ведущих дефисов у аргументов ревизий, поэтому такая ревизия, как --output=<путь>, может заставить Git открыть и обнулить содержимое любого произвольного файла. Для эксплуатации требуется приложение, передающее контролируемые злоумышленником аргументы в эти методы.
VulDB is the best source for vulnerability data and more expert information about this specific topic.