JVNDB-2026-031991

gitpython projectのgitpythonにおけるコマンドインジェクションの脆弱性

GitPython 3.1.51 未満のバージョンでは、Repo.archive() および git.ls_remote() にキーワード引数として渡される危険な Git オプションに対する防御が不十分であり、--exec や --upload-pack といったオプションを通じてコマンドインジェクションが可能であり、任意のコマンドを実行される可能性があります。さらに、Repo.iter_commits() および Repo.blame() は先頭にダッシュが付くリビジョン引数を検証しないため、--output=＜path＞ のようなリビジョン引数によって Git が任意のファイルを開いて内容を切り詰めてしまう可能性があります。これらのメソッドに攻撃者が制御する引数を渡すアプリケーションが必要となる場合があります。

gitpython project

• gitpython 3.1.51 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : command injection via unguarded Git options in `Repo.archive()`, `git.ls_remote()`, and arbitrary file overwrite via `Repo.iter_commits()` / `Repo.blame()`  Advisory  gitpython-developers/GitPython  GitHub

VulnCheck

• VulnCheck : GitPython before 3.1.51 Command Injection via unguarded Git options  | Advisories | VulnCheck

1. コマンドインジェクション(CWE-77) [その他]

1. CVE-2026-67323

1. National Vulnerability Database (NVD) : CVE-2026-67323

• [2026年09月04日]
    掲載