CVE-2026-63395

Nome do Software Vulnerável e Versões Afetadas isomorphic-git versões anteriores a 1.38.6

Descrição A função git.checkout() grava novos caminhos filhos através de componentes de diretório iniciais simbolizados (symlinks) sem a devida validação. Um repositório malicioso pode criar um symlink de diretório e, posteriormente, substituir o estado da árvore por um arquivo filho sob esse caminho. Isso pode ser desencadeado durante um clone seguido de um pull, ou durante um único clone se um symlink já existir. No Linux ou macOS usando Node fs, o sistema operacional pode resolver a gravação fora da árvore de trabalho, permitindo a gravação de arquivos arbitrários no host e possível execução de código. No Windows, o Node fs geralmente bloqueia a criação de symlinks sem privilégios elevados. Provedores de navegador ou em memória ficam limitados ao seu sistema de arquivos virtual e são afetados apenas se implementarem a criação e o seguimento de symlinks.

Recomendações Atualize para a versão 1.38.6.