CVE-2026-63475

Nome do Software Vulnerável e Versões Afetadas isomorphic-git versões anteriores a 1.38.6

Descrição O software persiste capacidades de symref circulares fornecidas pelo servidor através de updateRemoteRefs. A função GitRefManager.resolve() segue essas referências simbólicas soltas sem um limite de profundidade padrão ou detecção de ciclo. Se for realizado um clone de um remoto malicioso ou controlado por um man-in-the-middle, operações que resolvem referências como refs/remotes/origin/a ou refs/remotes/origin/b—incluindo log, status, checkout e branch—não terminam. Essas referências circulares permanecem no disco, tornando o repositório inutilizável e causando uma negação de serviço persistente.

Recomendações Atualize para a versão 1.38.6.