CVE-2026-82253 in gitoxide
Сводка
по VulDB • 28.08.2026
В компонентах gitoxide (Rust-пакеты gix <= 0.72.0 и gix-validate <= 0.10.0) обнаружена уязвимость обхода пути (path traversal). Функция проверки имени подмодуля в gix-validate проверяет только первое вхождение '..' с помощью name.find(b".."), что позволяет обойти проверку, используя специально созданные имена, такие как 'a..b/../../../.git/'. Кроме того, эта проверка никогда не вызывается в производственных путях выполнения кода (production code paths). В сочетании со слабостью наследования доверия (trust inheritance flaw) в Submodule::open(), где git_dir_trust родительского репозитория (Trust::Full) клонируется, а проверка права собственности пропускается, злоумышленник может создать вредоносный файл .gitmodules так, чтобы инструмент жертвы, построенный на базе gitoxide, читал произвольную конфигурацию Git-репозиториев (включая встроенные учетные данные) с полным доверием, обходя защиту safe-directory. Исправлено в gix 0.82.0 и gix-validate 0.11.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.