CVE-2026-53586
Açıklama
libgit2, sağlam bir API ile bağlanabilir bir kütüphane olarak sunulan Git çekirdek yöntemlerinin taşınabilir bir C uygulamasıdır ve Git işlevselliğini uygulamanıza dahil etmenizi sağlar. 1.8.6 ve 1.9.5 sürümlerinden önce, src/libgit2/transports/http.c içindeki yerleşik HTTP taşıma katmanı, site dışı bir ilk yönlendirmeyi takip eder ve yönlendirilen ana bilgisayar 401 Unauthorized döndürdüğünde handle_remote_auth ve handle_auth, kimlik bilgisi geri çağrısına transport->server.url yerine transport->owner->url iletir. Bu nedenle kimlik bilgilerini özgün güvenilir URL ile sınırlayan bir geri çağrı, libgit2'nin transport->server.cred içinde sakladığı ve yönlendirilen ana bilgisayara Authorization başlığı olarak gönderdiği GIT_CREDENTIAL_USERPASS_PLAINTEXT kimlik bilgilerini döndürebilir. Güvenilir bir Git ana bilgisayarını veya bu ana bilgisayardaki bir açık yönlendirmeyi kontrol eden bir saldırgan, HTTP Basic kimlik bilgilerini, kişisel erişim belirteçlerini veya eşdeğer kimlik bilgilerini ifşa edebilir. Bu sorun 1.8.6 ve 1.9.5 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| libgit2 libgit2 | < 1.8.6, >= 1.9.0, < 1.9.5 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.