CVE-2026-114145

Nome do Software Vulnerável e Versões Afetadas GitPython versões anteriores a 3.2.1

Description A função create submodule() em git/objects/submodule/base.py aceita um caminho de submódulo influenciado por um invasor e invoca clone repo() antes de rejeitar o destino. Nas versões 3.1.x, a função validate repo path() não existe, fazendo com que a chamada seja bem-sucedida silenciosamente. Na versão 3.2.0 e revisões afetadas posteriores, a verificação em git/index/base.py gera um ValueError apenas após a clonagem ter sido gravada no disco, sem remover o arquivo implantado. Isso permite que um submódulo controlado por um invasor coloque um hook de post-checkout executável que é executado durante uma operação Git posterior. A exploração ocorre quando uma aplicação aceita um caminho de submódulo não confiável e um destino de clonagem, como .git/hooks, que esteja vazio o suficiente para que o Git realize a clonagem.

Recommendations Atualizar para a versão 3.2.1.