CVE-2026-44544

gittuf, platformdan bağımsız bir Git güvenlik sistemidir. 0.14.0 sürümünden önce, gittuf'un Reference State Log (RSL) kısmına push erişimi olan bir saldırgan, mevcut politikayı mevcut kök anahtar seti tarafından güvenilen herhangi bir önceki politikaya geri döndürebilir. gittuf, yüklenecek politikayı RSL'yi inceleyerek belirler. Çok ilk politika hariç (gittuf'un TOFU modeli gereği otomatik olarak güvenilen veya manuel olarak belirtilen anahtarlarla doğrulanan), yeni bir politikaya işaret eden bir RSL girişiyle karşılaşıldığında, gittuf bu politikanın güvenilir olduğunu doğrular. Bu işlem, yeni politikanın kök meta verilerinin, mevcut politikanın kök anahtarlarının gerekli eşiği tarafından imzalandığının kontrol edilmesiyle yapılır. Bu nedenle, RSL'ye push erişimi olan bir saldırgan, eski bir politikaya (en son politikanın kök anahtar seti tarafından güvenilen) referans veren yeni bir giriş oluşturabilir ve böylece gittuf'un politikasını saldırganın seçtiği duruma geri döndürebilir. Bu güvenlik açığı 0.14.0 sürümünde giderilmiştir.