CVE-2026-89011

1.42.0 öncesindeki isomorphic-git, getRemoteInfo fonksiyonunda, kötü niyetli bir Git sunucu operatörünün ref müzakeresi sırasında '__proto__' yol bölümleri içeren hazırlanmış ref adları yayınlayarak Object.prototype yapısını kirletmesine olanak tanıyan bir prototype pollution zafiyeti içermektedir. Bir Git sunucusunu kontrol eden saldırganlar, tüm sonraki ağ işlemlerini saldırgan kontrollü bir proxy üzerinden yeniden yönlendirmek için '__proto__/corsProxy' gibi özel olarak hazırlanmış bir ref yayınlayabilir; bu durum, kurban saldırgan tarafından sağlanan bir URL ile getRemoteInfo fonksiyonunu çağırdığında, isomorphic-git'in kurbanın onAuth geri çağırma fonksiyonunu tetiklemesine ve kimlik bilgilerinin saldırgana iletilmesine neden olur.