CVE-2026-114096

Nome do Software Vulnerável e Versões Afetadas Dulwich versões 0.24.0 até 1.2.7

Description Um problema de seguimento de links simbólicos (symlink following) existe na função porcelain.checkout(paths=[...]). O software utiliza os.open sem a flag O NOFOLLOW, o que permite que ele siga links simbólicos no arquivo de destino e em diretórios intermediários. Um invasor pode criar um repositório malicioso contendo um link simbólico que aponta para um local sensível, como .git/hooks/post-checkout. Quando um usuário restaura um arquivo de uma tag usando a função afetada, o software pode gravar conteúdo controlado pelo invasor nesse local, potencialmente levando à execução remota de código (RCE) quando o hook for acionado.

Recommendations Atualize o Dulwich para a versão 1.2.8 ou posterior. Como medida paliativa temporária, restrinja o uso da função porcelain.checkout(paths=[...]) ao lidar com repositórios não confiáveis.