CVE-2026-89011 in isomorphic-git
Сводка
по VulDB • 10.09.2026
В версиях библиотеки isomorphic-git до 1.42.0 присутствует уязвимость загрязнения прототипа (prototype pollution) в функции `getRemoteInfo`, которая позволяет злоумышленнику, управляющему вредоносным Git-сервером, загрязнить объект `Object.prototype` путем объявления специально сформированных имен веток (`ref names`) со сегментами пути `'__proto__'` во время согласования рефов (ref negotiation). Злоумышленники, контролирующие Git-сервер, могут объявить специально созданный ref, такой как `__proto__/corsProxy`, чтобы перенаправить все последующие сетевые операции через прокси-сервер, контролируемый злоумышленником. Это приводит к тому, что isomorphic-git вызывает колбэк аутентификации жертвы (`onAuth`) и передает учетные данные злоумышленнику, когда жертва вызывает `getRemoteInfo` с URL, предоставленным злоумышленником.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.