FICHE CVE

CVE-2026-110856

Publiée le 2026-10-14 · Dernière modification le 2026-10-20

🇫🇷 EN BREF

Les applications utilisant la bibliothèque GitPython avant la version 3.2.0 sont vulnérables à une attaque par déni de service. Un attaquant peut faire planter votre serveur ou épuiser ses ressources CPU en incitant votre application à traiter un dépôt Git spécialement conçu contenant des lignes de texte anormalement longues. Cela peut être réalisé à distance via le réseau, sans aucune authentification ni interaction de l'utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

Déni de service par expression régulière (ReDoS) · CWE-1333

Publiée2026-10-14

Dernière modification2026-10-20

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitPython before 3.2.0 contains a regular expression denial of service vulnerability in the _re_actor_epoch pattern used by parse_actor_and_date on author, committer, and tagger lines. Attackers can serve repositories with commit or tag objects containing long space-filled lines lacking a valid epoch or timezone, causing quadratic backtracking and CPU exhaustion.