CVE-2026-45022

go-git, saf Go ile yazılmış genişletilebilir bir git uygulama kütüphanesidir. 5.19.0 ve 6.0.0-alpha.3 sürümlerinden önce go-git, hatalı biçimlendirilmiş Git nesnelerini ana hat Git'ten farklı bir şekilde ayrıştırabilir. Commit veya tag nesneleri belirsiz veya hatalı biçimlendirilmiş üstbilgiler içerdiğinde, go-git'in çözümlenmiş temsili, değerleri Git'in aynı nesneyi yorumlayacağı veya reddedeceği şekilden farklı olarak ortaya çıkarabilir. Ek olarak, go-git'in commit imzalama ve doğrulama mantığı, orijinal ham nesne baytları yerine go-git'in ayrıştırılmış temsilinden yeniden oluşturulan commit verileri üzerinden çalışır. Sonuç olarak go-git, depoda saklanan nesneyle bayt bazında eşdeğer olmayan bir commit yükünü imzalayabilir veya doğrulayabilir. Bu durum, görüntülenen veya etkili meta verileri imzalanmak istenen nesneden farklı olan bir commit için imzanın geçerli görünmesine neden olabilir. Bu güvenlik açığı 5.19.0 ve 6.0.0-alpha.3 sürümlerinde giderilmiştir.