CVE-2026-63476

Nome do Software Vulnerável e Versões Afetadas isomorphic-git versões anteriores a 1.38.6

Description Existe um problema ao aplicar um delta de packfile em src/utils/applyDelta.js, onde um targetSize controlado pelo servidor é passado sem limite para Buffer.alloc(targetSize). Um agente remoto malicioso ou um man-in-the-middle pode enviar um cabeçalho de delta que força git.clone() ou git.fetch() a alocar aproximadamente 2 GB de memória antes que a saída real do delta seja validada. Como GitPackIndex.fromPack() suprime erros subsequentes de incompatibilidade de tamanho, sistemas com memória abundante podem sofrer desperdício de recursos, enquanto containers, funções serverless e máquinas virtuais pequenas podem ser encerrados. Esta alocação de Buffer off-heap não é mitigada pelos limites de heap do Node.js.

Recommendations Atualizar para a versão 1.38.6.