CVE-2026-45022
Publiée le 2026-05-27 · Dernière modification le 2026-06-17
Les applications utilisant la bibliothèque `go-git` sont sensibles à une faille de vérification de signature où des objets Git malformés sont interprétés différemment que par Git standard. Un attaquant disposant d'un accès de bas niveau au dépôt peut concevoir un commit qui semble posséder une signature numérique valide alors que les métadonnées ont été altérées. Cette attaque est complexe à exécuter et nécessite que l'attaquant dispose déjà des permissions nécessaires pour pousser ou fournir des objets au système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
go-git is an extensible git implementation library written in pure Go. Prior to 5.19.0 and 6.0.0-alpha.3, go-git may parse malformed Git objects in a way that differs from upstream Git. When commit or tag objects contain ambiguous or malformed headers, go-git’s decoded representation may expose values differently from how Git itself would interpret or reject the same object. Additionally, go-git’s commit signing and verification logic operates over commit data reconstructed from go-git’s parsed representation rather than the original raw object bytes. As a result, go-git may sign or verify a commit payload that is not byte-for-byte equivalent to the object stored in the repository. This can cause a signature to appear valid for a commit whose displayed or effective metadata differs from the object that was intended to be signed. This vulnerability is fixed in 5.19.0 and 6.0.0-alpha.3.