FICHE CVE

CVE-2026-87818

Publiée le 2026-09-09 · Dernière modification le 2026-09-16

🇫🇷 EN BREF

Les applications utilisant la bibliothèque GitPython (version 3.1.59) sont affectées par une faille dans la manière dont l'API diff gère certaines options. Un attaquant authentifié ayant un accès réseau peut utiliser cette vulnérabilité pour lire des fichiers arbitraires sur le système de fichiers de votre serveur, permettant potentiellement de récupérer des secrets sensibles ligne par ligne. L'exploitation est relativement simple à exécuter et ne nécessite aucune interaction de la part d'autres utilisateurs.

CVSS 4.07.1 ÉLEVÉE

Type de faiblesse

CWE-88

Publiée2026-09-09

Dernière modification2026-09-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurAucune

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Aucune

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

GitPython 3.1.59 fails to restrict the --no-index option in the high-level diff API, allowing attackers to read arbitrary filesystem paths as repository operands. Attackers can combine --no-index with -I/--ignore-matching-lines to create a content-dependent Boolean oracle, repeatedly querying local files to recover single-line secrets through distinguishable success or error responses.