CVE-2026-114098

Nome do Software Vulnerável e Versões Afetadas Dulwich versões 0.22.5 through 1.2.7

Description Um problema de traversal de caminho existe na função pop() dentro de stash.py. A função utiliza os.path.exists() para verificar diretórios pai, o que segue links simbólicos (symlinks). Se um diretório intermediário for um link simbólico apontando para fora da árvore de trabalho (worktree), um invasor pode gravar arquivos arbitrários no sistema de arquivos. Por exemplo, um repositório malicioso pode ser criado para gravar um payload em .git/hooks/post-checkout, resultando em execução remota de código durante a próxima operação de checkout. A função validate path() não detecta links simbólicos do sistema de arquivos e a função build file from blob() não possui proteção contra links simbólicos.

Recommendations Atualize o Dulwich para a versão 1.2.8 ou posterior. Como medida paliativa temporária, evite realizar operações de stash pop em repositórios de fontes não confiáveis.