CVE-2026-71557

Nome do Software Vulnerável e Versões Afetadas go-git versões anteriores a 5.19.2 go-git versões anteriores a 6.0.0-alpha.5

Description Os nomes de referência não são sanitizados antes de serem usados para construir caminhos no disco sob o diretório de armazenamento de referências. Um nome de referência maliciosamente criado contendo sequências de traversal de diretório pode fazer com que a biblioteca grave arquivos fora do diretório de armazenamento de referências pretendido. Este problema afeta repositórios baseados em sistema de arquivos que utilizam o pacote storage/filesystem e seu armazenamento de referência dotgit. Um servidor Git malicioso poderia anunciar um nome de referência, como refs/heads/../../config, que poderia resolver para metadados de repositório não relacionados, como .git/config ou .git/HEAD. A exploração ocorre quando um aplicativo que usa armazenamento baseado em sistema de arquivos interage com um servidor Git malicioso ou processa nomes de referência controlados por um invasor.

Recommendations Atualize o go-git para a versão 5.19.2 ou posterior. Atualize o go-git para a versão 6.0.0-alpha.5 ou posterior. Evite clonar ou buscar dados de servidores Git não confiáveis. Valide os nomes de referência antes de passá-los para o armazenamento baseado em sistema de arquivos como uma mitigação temporária.