FICHE CVE

CVE-2026-73624

Publiée le 2026-08-13 · Dernière modification le 2026-08-13

🇫🇷 EN BREF

Les applications utilisant des versions de GitPython antérieures à la 3.1.54 sont vulnérables à une faille permettant à un attaquant d'écraser n'importe quel fichier du système auquel l'application a accès. Un attaquant disposant d'un accès authentifié de bas niveau peut déclencher cette action à distance via le réseau, sans aucune interaction supplémentaire de l'utilisateur. En fournissant un argument de sortie spécifique, il peut forcer le système à écrire le contenu d'un correctif (patch) vers le chemin de fichier de son choix.

CVSS 4.07.2 ÉLEVÉE

Type de faiblesse

CWE-88

Publiée2026-08-13

Dernière modification2026-08-13

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitPython versions before 3.1.54 contain an arbitrary file overwrite vulnerability in the Diffable.diff method that fails to validate git options passed through kwargs. Attackers can supply the --output argument via the other parameter or output kwarg to write patch content to attacker-chosen file paths at process privilege level.