CVE-2026-82253
Açıklama
gitoxide (Rust crates gix <= 0.72.0 ve gix-validate <= 0.10.0), bir path traversal zafiyeti içermektedir. gix-validate içerisindeki alt modül adı doğrulama fonksiyonu, name.find(b"..") aracılığıyla yalnızca ilk '..' örneğini kontrol eder; bu durum, 'a..b/../../../.git/' gibi özel olarak hazırlanmış adların kontrolü atlatmasına olanak tanır; ayrıca bu doğrulama üretim kodu yollarında hiçbir zaman çağrılmamaktadır. Üst deponun git_dir_trust (Trust::Full) değerinin kopyalandığı ve sahiplik doğrulamasının atlandığı Submodule::open() içerisindeki bir güven kalıtımı hatasıyla birleştiğinde, bir saldırgan kötü amaçlı bir .gitmodules dosyası hazırlayarak, gitoxide üzerine inşa edilmiş bir mağdur aracın, safe-directory korumalarını atlayarak rastgele git deposu yapılandırmalarını (gömülü kimlik bilgileri dahil) tam güvenle okumasını sağlayabilir. gix 0.82.0 ve gix-validate 0.11.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
- GitoxideLabs gitoxide0.82.0, 0.11.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| GitoxideLabs gitoxide | v < 0.82.0, v < 0.11.1 | 0.82.0, 0.11.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.