JVNDB-2026-031626

gitpython projectのgitpythonにおけるパストラバーサルの脆弱性

GitPython 3.1.59以前のバージョンでは、unsafe_git_clone_optionsに--separate-git-dirが省略されており、攻撃者が意図したクローン先の外部に任意のgitディレクトリを作成できる可能性があります。攻撃者はRepo.clone_from()またはRepo.clone()にseparate_git_dirパラメータを渡すことで、リポジトリのメタデータを攻撃者が制御するファイルシステムのパスへリダイレクトし、その結果、任意のディレクトリを作成し、フックを実行することが可能となります。

gitpython project

• gitpython 3.1.59 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : clone_from()/clone() omit --separate-git-dir from unsafe_git_clone_options, enabling arbitrary git-directory creation outside the destination  Advisory  gitpython-developers/GitPython  GitHub

VulnCheck

• VulnCheck : GitPython before 3.1.59 Path Traversal via separate-git-dir  | Advisories | VulnCheck

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-78677

1. National Vulnerability Database (NVD) : CVE-2026-78677

• [2026年09月03日]
    掲載