JVNDB-2026-031627

gitpython projectのgitpythonにおける引数の挿入または変更に関する脆弱性

GitPython 3.1.59以前のバージョンでは、書き込み操作中に複数行にわたるgit-configの値を安全に再シリアライズできず、休止状態の引用された値がcore.hooksPathのような注入されたディレクティブによって破損してしまいます。攻撃者は埋め込み改行を含む設定ファイルを作成でき、これによりGitPythonの無関係な設定書き込み後に有効なgitディレクティブが生成され、フックの呼び出しを介して任意のコードを実行可能にします。

gitpython project

• gitpython 3.1.59 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Dormant multi-line git-config values are corrupted into live injected directives (e.g. core.hooksPath) on any unrelated GitConfigParser write, enabling RCE  Advisory  gitpython-developers/GitPython  GitHub

VulnCheck

• VulnCheck : GitPython before 3.1.59 Remote Code Execution via Config Injection  | Advisories | VulnCheck

1. 引数の挿入または変更(CWE-88) [その他]

1. CVE-2026-78676

1. National Vulnerability Database (NVD) : CVE-2026-78676

• [2026年09月03日]
    掲載