CVE-2026-47712

Dulwich, Git fayl formatlarının və protokollarının təmiz Python implementasiyasıdır. Versiya 0.24.0-dan başlayaraq və versiya 1.2.5-ə qədər olan versiyalarda, dulwich.porcelain.format_patch(outdir=...) hər bir yamaq (patch) faylının adını commit-in mövzu sətrindən törədir. Bu düzəlişdən əvvəl, get_summary yalnız boşluqları tire ilə əvəzləyirdi - yol ayırıcılar (/, \), valideyn kataloq komponentləri (..) və digər fayl adı üçün uyğun olmayan simvollar (məsələn, :) olduğu kimi saxlanılır və birbaşa os.path.join(outdir, f"{i:04d}-{summary}.patch") funksiyasına ötürülürdü. Buna görə də, zərərli commit mövzusu yaradılan yamaq faylını tələb olunan outdir-dən kənara yönləndirə bilərdi. Bu problem Dulwich 1.2.5 versiyasında düzəldilib. İstifadəçilər 1.2.5 və ya daha yeni versiyaya yüksəltmə etməlidirlər. dulwich.patch.get_summary artıq git-in format_sanitized_subject funksiyasını təkrarlayır: yalnız `[A-Za-z0-9._]` simvolları saxlanılır, digər simvolların ardıcıllığı tək bir - simvoluna çevrilir, ardıcıl . simvolları tək bir . simvoluna çevrilir, sondakı ./- simvolları silinir və nəticənin uzunluğu məhdudlaşdırılır. Bu, qaytarılan sətrin fayl adı komponenti kimi istifadə edilməsini təhlükəsiz edir, beləliklə format_patch artıq commit mövzusu vasitəsilə outdir-dən kənara yönləndirilə bilməz. Yüksəltmə edənə qədər, porcelain.format_patch funksiyasına etibarsız commit-lər ötürən çağırıcılar stdout=True parametrindən istifadə edə və yamağı format_patch-in fayl adını seçməsinə icazə vermək əvəzinə özlərinin idarə etdiyi təyinat yerinə yaza bilərlər; faylı açmazdan əvvəl seçilmiş yolu yoxlayın - məsələn, os.path.realpath(returned_path) dəyərini os.path.realpath(outdir) ilə müqayisə edin və həll edilmiş yolu outdir daxilində olmayan hər hansı yamağı rədd edin; və/və ya commit-ləri öncədən süzgəcdən keçirin və mövzusunun birinci sətri /, \, .. və ya hədəf fayl sistemi üçün təhlükəsiz olmayan digər simvollar ehtiva edən heç bir commit-in formatlanmasına icazə verməyin.