JVNDB-2026-031642

gitpython projectのgitpythonにおけるパストラバーサルの脆弱性

GitPython 3.1.58より前のバージョンには、.gitmodulesファイルからのサブモジュール名の検証に失敗する脆弱性があります。このため、攻撃者は意図したクローンディレクトリの外部に任意のファイルシステムパス上でGitリポジトリを作成できる可能性があります。攻撃者はサブモジュール初期化時に、GitPythonが処理するサブモジュール名にトラバーサルシーケンスを含む悪意のあるリポジトリを作成し、エスケープされたファイルシステム上の場所に攻撃者が制御するGitリポジトリを生成することができます。

gitpython project

• gitpython 3.1.58 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアの一部が停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Arbitrary Git Repository Creation Outside the Working Tree via Unvalidated .gitmodules Submodule Name in GitPython  Advisory  gitpython-developers/GitPython  GitHub

VulnCheck

• VulnCheck : GitPython before 3.1.58 Path Traversal via .gitmodules Submodule Name  | Advisories | VulnCheck

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-76222

1. National Vulnerability Database (NVD) : CVE-2026-76222

• [2026年09月03日]
    掲載