PT-2026-114172 · Gitpython Developers+1 · Gitpython
CVSS v4.0
9.2
حرجة
| المتجه | AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
اسم البرنامج المصاب والإصدارات المتأثرة
GitPython الإصدارات 3.1.30 through 3.1.x
Description
يمكن تنفيذ رمز عن بُعد في الدالة
Remote.pull(). تقوم حماية الخيارات غير الآمنة بفحص وسائط الكلمات الرئيسية فقط، ولا تتحقق من refspec الموضعي. يمكن للمهاجم الذي يتحكم في refspec تقديم الخيار --upload-pack=<command> لتنفيذ أوامر نظام التشغيل بصلاحيات العملية المستدعية عبر مسارات محلية أو عمليات نقل SSH.Recommendations
تحديث GitPython إلى الإصدار 3.2.0.
استغلال
إصلاح
Argument Injection
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Gitpython