CVE-2026-73622 in GitPython

摘要

由 VulDB • 2026-08-13

GitPython 在 3.1.55 版本之前，未能禁用 `Remote.create()` 和 `Submodule.add()` URL 处理中的环境变量展开功能，攻击者可通过提供包含变量引用的 URL 来窃取敏感信息。攻击者可构造包含环境变量标记的 URL，这些标记会被展开并写入 `.git/config` 和 `.gitmodules` 文件中，随后在 fetch（获取）或 pull（拉取）操作期间被传输至由攻击者控制的服务器。

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• 负责: VulnCheck
• 预定: 2026-08-13
• 披露: 2026-08-13
• 管理: 已接受
• 条目: VDB-389393
• CPE: 准备好
• CWE: CWE-78 (已确认)
• CVSS: 4.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低
• 部门: Education, Insurance, ...

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73622
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73622
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73622/