Veille CVE

‹ Retour à la liste

CVE-2026-110860

6.1 Moyenne

Publiée le 15/10/2026 à 01:17 · Modifiée le 15/10/2026 à 22:33 · En attente d'analyse NVD · Source : disclosure@vulncheck.com

Description

GitPython from 3.1.62 before 3.2.0 contains a symlink-following flaw in Submodule.move(), which checks the destination only lexically and does not reject symbolic links in intermediate path components. An untrusted repository can commit a symlink such as vendor pointing outside the worktree, so an application moving an initialized submodule beneath it relocates the checkout externally and corrupts the index and .gitmodules.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 6.9 Moyenne disclosure@vulncheck.com CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:P/VC:N/VI:H/VA:L/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 6.1 Moyenne disclosure@vulncheck.com (NVD) CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:L

Faiblesses (CWE)

Références

Ailleurs