FICHE CVE

CVE-2026-78678

Publiée le 2026-08-25 · Dernière modification le 2026-10-12

🇫🇷 EN BREF

Les applications utilisant la bibliothèque GitPython (versions antérieures à 3.1.59) sont vulnérables à une fuite d'informations permettant à un attaquant de lire des fichiers arbitraires sur le serveur hôte. En transmettant des drapeaux spécifiques, tels que `--contents`, à la fonction `Repo.blame()`, un utilisateur peut tromper le système pour qu'il renvoie le contenu de fichiers sensibles, comme `/etc/passwd`. Cette attaque peut être exécutée à distance via le réseau et nécessite une authentification de bas niveau, mais aucune autre interaction de l'utilisateur n'est requise.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-88

Publiée2026-08-25

Dernière modification2026-10-12

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitPython versions before 3.1.59 contain an incomplete denylist in the unsafe_git_revision_options guard that omits --contents and -S options, allowing attackers to read arbitrary files by passing these options to Repo.blame(). Attackers can supply revision values like --contents=/etc/passwd to leak file contents through the blame result returned to the caller.