CVE-2026-52726

Dulwich, Git fayl formatlarının və protokollarının təmiz Python implementasiyasıdır. Versiya 0.23.2-dən başlayaraq versiya 1.2.5-ə qədər olan versiyalarda `dulwich.porcelain.submodule_update` və nəticə etibarilə `porcelain.clone(..., recurse_submodules=True)`, yol validasiyası aparmadan hazırlanmış yuxarı axın (upstream) repozitoriyasından hücumçunun idarə etdiyi altmodul (submodule) yollarını reallaşdırır. Zərərli `.gitmodules` faylı və onunla uyğunlaşan, `path` parametri `.git/hooks` (və ya valideyn repozitoriyasının `.git` kataloqundakı hər hansı digər kataloq) olan ağac gitlinki, hücumçunun altmodul ağacının məzmununun birbaşa qurbanın `.git/hooks/` kataloquna yazılmasına səbəb olur və icra edilə bilən rejim bitləri qorunub saxlanılır. Yerləşdirilmiş icra faylları daha sonra müvafiq hook-u çağıran istənilən növbəti `git` və ya `dulwich` əmri tərəfindən işə salınır ki, bu da ixtiyari kodun icrasına gətirib çıxarır. Bu, CVE-2024-32002 / CVE-2024-32004 üçün yuxarı axın Git düzəlişlərinin dulwich ekvivalenti olub və həmin düzəlişlər dulwich-in ayrıca implementasiya edilmiş altmodul porcelain hissəsinə heç vaxt ötürülməmişdir. Versiya 1.2.5 bu problemi aradan qaldırır.