CVE-2026-122299

Dulwich 1.2.20 öncesi sürümler, _parse_commit içindeki okuma yolunun yinelenen bir ağaç başlığını ilk yerine son oluşuma çözümlediği ve bu durumun çekirdek git'in çözümleme davranışından farklı olduğu bir commit nesnesi ayrıştırma zafiyeti içermektedir; Poetry 2.5.1 ise bu sürümü beraberinde getirmekte ve git bağımlılık kurulumu için varsayılan olarak dulwich kullanmaktadır. Saldırganlar, git kullanan incelemecilerin ve CI sistemlerinin zararsız bir ağacı görmesini sağlarken, Poetry'nin dulwich tabanlı checkout işleminin setup.py gibi kötü amaçlı derleme betikleri içeren saldırgan kontrollü farklı bir ağaca çözümlenmesini sağlayacak şekilde iki ağaç başlığına sahip bir commit nesnesi oluşturabilirler; bu durum, kurulum veya derleme ana bilgisayarında incelenmemiş kod çalıştırılmasıyla sonuçlanır.