CVE-2026-93995

Apache MINA SSHD'nin 2.19.0 ve 3.0.0-M1 ile 3.0.0-M5 arasındaki sürümlerinde bulunan sshd-git bileşeninde hatalı girdi doğrulaması mevcuttur. Apache MINA SSHD, istemci tarafı ve sunucu tarafı SSH için bir Java kütüphanesidir. org.apache.sshd:sshd-git bileşeni, GitPgmCommandFactory sınıfı aracılığıyla, kimliği doğrulanmış SSH istemcilerinin sunucuda depolanan git depoları üzerinde JGit kütüphanesi vasıtasıyla uzaktan git komutlarını çalıştırabileceği şekilde bir Apache MINA SSHD sunucusunu yapılandırmanın yolunu sağlar. CVE-2026-58624 kapsamında bu mekanizma, ortaya çıkan arşivin sunucuya yazılmayıp bunun yerine SSH bağlantısı üzerinden istemciye geri gönderilmesi amacıyla, "--output" veya "-o" seçenekleri olmaksızın "git archive" dahil olmak üzere yalnızca birkaç git komutuyla sınırlandırılmıştı. CVE-2026-58624 için yapılan düzeltme, "archive" komutundaki komut parametresinin tek argümanlı "-o=file.zip" versiyonunun kaldırılmasını atladığı için yetersiz kalmıştır. Kullanıcıların, bu sorunu gideren 2.20.0 veya 3.0.0-M6 sürümüne yükseltmeleri önerilir.