CVE-2026-82253

Nome do Software Vulnerável e Versões Afetadas gix versões anteriores a 0.82.0 gix-validate versões anteriores a 0.11.1

Description Um problema de traversal de caminho existe devido à validação inadequada de nomes de submódulos e a uma falha de herança de confiança. A função name() em gix-validate verifica apenas a primeira ocorrência de .., permitindo que nomes manipulados como a..b/../../../.git/ ignorem a verificação. Além disso, essa validação não é invocada em caminhos de código de produção. Em Submodule::open(), o git dir trust do repositório pai (definido como Trust::Full) é clonado, o que faz com que o sistema ignore a verificação de propriedade. Um invasor pode explorar isso criando um arquivo .gitmodules malicioso, levando uma ferramenta construída com gitoxide a ler configurações arbitrárias de repositórios git, incluindo credenciais incorporadas, ignorando as proteções de diretório seguro.

Recommendations Atualize o gix para a versão 0.82.0 ou posterior. Atualize o gix-validate para a versão 0.11.1 ou posterior. Como mitigação temporária, evite realizar operações de submódulo, como chamar open() ou status(), em repositórios de fontes não confiáveis.