CVE-2026-82248

Nome do Software Vulnerável e Versões Afetadas gix-worktree-state versões anteriores a 0.33.0

Descrição No Windows, o software permite a gravação de arquivos fora da worktree. Isso ocorre quando a função gix worktree state::checkout() segue um link simbólico terminal existente durante a materialização incremental não exclusiva (onde destination is initially empty é falso) enquanto core.symlinks está habilitado. Se uma entrada de link simbólico for primeiro extraída em um caminho específico apontando para fora da worktree, uma extração incremental subsequente de uma entrada de arquivo regular no mesmo caminho segue o reparse point—um objeto do Windows que redireciona uma operação do sistema de arquivos para outro destino—e grava o conteúdo do blob através do link, resultando na sobrescrita de arquivos fora da worktree.

Recomendações Atualize o gix-worktree-state para a versão 0.33.0 ou posterior.