O GitPython falha ao validar adequadamente a localização do diretório git, permitindo que invasores personifiquem o diretório git usando arquivos rastreados como `gitdir`, `commondir` e `HEAD`. Um invasor pode executar código arbitrário ao colocar um hook de pré-commit malicioso no diretório de hooks rastreados, que é acionado quando uma vítima chama a função `index.commit()` em um repositório clonado ou aberto. Este problema afeta qualquer aplicativo, pipeline de CI ou script que utilize a biblioteca para interagir com repositórios de fontes não confiáveis.