FICHE CVE

CVE-2026-110859

Publiée le 2026-10-14 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

Les applications utilisant la bibliothèque GitPython (versions antérieures à 3.2.0) sont vulnérables à une faille d'injection d'arguments. Un attaquant peut extraire des fichiers arbitraires de votre serveur en hébergeant un dépôt malveillant avec un nom de branche spécialement conçu pour déclencher la lecture d'un fichier lors du clonage par l'application. Cette action peut être exécutée à distance, sans authentification ni interaction de l'utilisateur.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-88

Publiée2026-10-14

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitPython before 3.2.0 contains an argument injection vulnerability in Head.checkout() that allows remote attackers to read arbitrary files by supplying a branch name parsed as a git option. Attackers can host a repository whose default branch is named --pathspec-from-file=<path>, causing cloning applications that check out the active branch to leak file contents through GitCommandError messages.