PT-2026-67306
CVE-2026-67326
·
تاريخ النشر
2026-05-08
·
تاريخ التحديث
2026-09-18
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات GitPython السابقة للإصدار 3.1.50
الوصف
يفشل GitPython في التحقق من صحة أحرف الأسطر الجديدة في معلمة section الخاصة بدالة
config writer(). وهذا يسمح للمهاجم بإدخال رؤوس أقسام عشوائية في ملف .git/config. ومن خلال إدخال أحرف الأسطر الجديدة، يمكن للمهاجم إنشاء قسم [core] مزور وتعديل المتغير hooksPath ليشير إلى دليل يخضع لسيطرته. وقد يؤدي ذلك إلى تنفيذ تعليمات برمجية عن بُعد عند تشغيل خطافات git.التوصيات
قم بتحديث GitPython إلى الإصدار 3.1.50 أو أحدث.
كحل مؤقت، قم بتقييد تمرير المدخلات التي يتحكم فيها المستخدم إلى معلمة section في الدالة
config writer().قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾