FICHE CVE

CVE-2026-110858

Publiée le 2026-10-14 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les versions 3.1.30 à 3.2.0 de GitPython sont affectées lors de l'utilisation de la fonction `Remote.pull()`. Un attaquant capable de contrôler le refspec (la référence source) peut exécuter des commandes arbitraires du système d'exploitation sur votre serveur avec les privilèges du processus exécutant le code. Cela peut être déclenché via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur, à condition que l'attaquant puisse influencer les données transmises à la commande pull.

CVSS 4.09.2 CRITIQUE

Type de faiblesse

CWE-88

Publiée2026-10-14

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitPython from 3.1.30 before 3.2.0 contains a remote code execution vulnerability in Remote.pull() whose unsafe-option guard inspects only keyword arguments, not the positional refspec. Attackers controlling the refspec can supply --upload-pack=<command> to execute OS commands as the calling process over local-path or SSH transports.