CVE-2026-63478

Nome do Software Vulnerável e Versões Afetadas isomorphic-git versões anteriores a 1.38.6

Description O analisador de árvore em src/models/GitTree.js aceita nomes de entrada de árvore .. independentes porque rejeita apenas separadores de caminho. Ao realizar um clone ou checkout de um remoto não-GitHub malicioso ou controlado por um man-in-the-middle, entradas .. aninhadas podem escapar da raiz da árvore de trabalho. Isso permite que um invasor grave arquivos em caminhos pai selecionados em qualquer provedor de fs baseado em host, potencialmente sobrescrevendo arquivos de inicialização ou configuração para alcançar a execução de código.

Recommendations Atualize para a versão 1.38.6.