PT-2026-69079
CVE-2026-71556
·
تاريخ النشر
2026-08-07
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
7.1
عاليةالمقاييسAV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات go-git السابقة للإصدار 5.19.2
إصدارات go-git السابقة للإصدار 6.0.0-alpha.5
الوصف
تقوم عمليات شجرة العمل (worktree)، بما في ذلك عمليات checkout و status و add، بحل الروابط الرمزية داخل شجرة العمل دون حصر عملية الحل في حدود شجرة العمل. وهذا يسمح لمستودع مصمم بشكل خبيث يحتوي على رابط رمزي بأن يتسبب في قيام المكتبة بالقراءة من الملفات الموجودة خارج دليل العمل المقصود أو الكتابة إليها. كان غلاف
worktreeFilesystem يرفض سابقًا سلاسل المسارات الخطرة، لكنه فشل في منع العمليات من اتباع الروابط الرمزية الموجودة. ونتيجة لذلك، يمكن أن يؤدي مسار يبدو آمنًا كسلسلة نصية إلى دليل بيانات Git الوصفية للمستودع أو إلى ملفات خارجية أخرى. على سبيل المثال، إذا كان الرابط الرمزي s يشير إلى .git، فإن الكتابة إلى s/config تؤدي إلى تعديل .git/config. لا تتأثر التطبيقات التي تستخدم storage/memory كـ Storer أو go-billy/memfs كـ Worktree.التوصيات
الترقية إلى الإصدار 5.19.2 أو أحدث.
الترقية إلى الإصدار 6.0.0-alpha.5 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾