CVE-2026-78676
Publiée le 2026-08-25 · Dernière modification le 2026-10-12
Les applications utilisant la bibliothèque GitPython avant la version 3.1.59 sont susceptibles de permettre l'exécution de code arbitraire. Un attaquant peut y parvenir en fournissant un fichier git-config spécialement conçu contenant des sauts de ligne cachés qui, lors de l'enregistrement par le système, déclenchent l'exécution de commandes non autorisées via des hooks git. Cette attaque est facile à exécuter et ne nécessite ni authentification ni interaction de l'utilisateur, si ce n'est le traitement de la configuration malveillante par le système.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
GitPython before 3.1.59 fails to safely re-serialize multi-line git-config values during write operations, corrupting dormant quoted values into injected directives like core.hooksPath. Attackers can craft config files with embedded newlines that become live git directives after any unrelated GitPython config write, enabling arbitrary code execution via hook invocation.