CVE-2026-82247 in gitoxide
Сводка
по VulDB • 28.08.2026
Критическая уязвимость в гитоксиде, crate gix-url (версии <= 0.32.0, исправлено в 0.37.1), использует самописный парсер URL-адресов, который не рассматривает символы '?' или '#' как завершающие компонент authority, что противоречит RFC 3986. В результате защита от повторного использования идентичности HTTP-перенаправлений в gix-transport (can_reuse_identity) сравнивает неверный хост и допускает доступ. Атакующий, контролирующий ответ с перенаправлением, может создать заголовок Location вида <attacker-authority>?@<original-authority>, чтобы gitoxide отправил учетные данные HTTP Basic Authorization вызывающего объекта на непредназначенный для этого хост. gix-transport затронут в версиях <= 0.49.0 (исправлено в 0.58.1).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.