JVNDB-2026-034025

gitpython projectのgitpythonにおけるインジェクションに関する脆弱性

GitPython 3.1.53以前のバージョンでは、git設定ファイル内のセクション名を正しくエスケープできないため、攻撃者が悪意のあるサブモジュール名を通じて任意の設定ディレクティブを注入できる可能性があります。攻撃者は、create_submoduleやclone_from操作を介して被害者の.git/configにcore.sshCommandやその他の危険な設定キーを注入でき、gitがSSH操作を実行する際にリモートコード実行を達成する可能性があります。

gitpython project

• gitpython 3.1.53 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : GitPython: git-config section-name injection enables arbitrary config directives (core.sshCommand RCE)  Advisory  gitpython-developers/GitPython  GitHub

VulnCheck

• VulnCheck : GitPython before 3.1.53 Config Injection via Submodule Names  | Advisories | VulnCheck

1. インジェクション(CWE-74) [その他]

1. CVE-2026-69097

1. National Vulnerability Database (NVD) : CVE-2026-69097

• [2026年09月17日]
    掲載