CVE-2026-62960

Nome do Software Vulnerável e Versões Afetadas Git for Windows versões anteriores a 2.55.0.windows.4

Description Um servidor Git remoto malicioso pode anunciar uma URI de bundle que é processada pelas funções transport get remote bundle uri(), fetch bundle uri internal() e copy uri to file() em bundle-uri.c durante operações de clone ou fetch quando transfer.bundleuri está definido como true. Como valores que não sejam HTTP(S) são tratados como caminhos de sistema de arquivos locais e prefixos de URI de arquivo são removidos, um caminho UNC puro ou uma URI de arquivo direcionada a um compartilhamento controlado por um invasor faz com que o Windows inicie uma conexão SMB (Server Message Block) de saída. Isso pode expor materiais de autenticação NTLM (New Technology LAN Manager) ao host selecionado pelo invasor.

Recommendations Atualize para a versão 2.55.0.windows.4. Como mitigação temporária, defina transfer.bundleuri como false para evitar o processamento de URIs de bundle.