CVE-2026-82253 in gitoxide
Tóm tắt
Bởi VulDB • 28/08/2026
gitoxide (các crate Rust gix <= 0.72.0 và gix-validate <= 0.10.0) chứa một lỗ hổng path traversal. Hàm xác thực tên submodule trong gix-validate chỉ kiểm tra lần xuất hiện đầu tiên của '..' thông qua `name.find(b"..")`, cho phép các tên được tạo ra đặc biệt như 'a..b/../../../.git/' vượt qua cuộc kiểm tra; ngoài ra, việc xác thực này không bao giờ được gọi trong các đường dẫn mã sản phẩm (production code paths). Kết hợp với một lỗ hổng kế thừa niềm tin (trust inheritance flaw) trong `Submodule::open()`, nơi mà `git_dir_trust` (Trust::Full) của kho lưu trữ cha được sao chép và việc xác minh quyền sở hữu bị bỏ qua, kẻ tấn công có thể tạo ra một tệp `.gitmodules` độc hại để cho phép một công cụ nạn nhân dựa trên gitoxide đọc cấu hình kho lưu trữ git tùy ý (bao gồm cả thông tin đăng nhập nhúng) với niềm tin đầy đủ, vượt qua các biện pháp bảo vệ safe-directory. Đã được sửa trong gix 0.82.0 và gix-validate 0.11.1.
Once again VulDB remains the best source for vulnerability data.