CVE-2026-25934
ŚrednieCVSS 4.3Streszczenie
go-git to biblioteka implementacji git w czystym Go. Przed wersją 5.16.5 wykryto podatność, w której wartości integralności danych dla plików .pack i .idx nie były prawidłowo weryfikowane, co mogło prowadzić do przetwarzania uszkodzonych plików i nieoczekiwanych błędów, takich jak "object not found". Klienci pobierają pliki pack z serwerów Git, które zawierają sumy kontrolne, ale go-git nie weryfikował ich poprawnie.
Ocena ryzyka
Organizacja może napotkać błędy i potencjalnie przetwarzać uszkodzone dane podczas operacji git, co może prowadzić do niespójności repozytorium lub awarii aplikacji. Nie zaobserwowano bezpośredniego wykonania kodu, ale integralność danych jest zagrożona.
Rekomendacja
Zaktualizuj go-git do wersji 5.16.5 lub nowszej. Upewnij się, że wszystkie aplikacje korzystające z go-git zostaną przebudowane z poprawioną biblioteką.
Inne podatności w go-git
Zobacz wszystkie- CVE-2026-41506Średnie
go-git to biblioteka implementacji git w czystym Go. W wersjach przed 5.18.0 i 6.0.0-alpha.2 może ujawniać dane uwierzytelniania HTTP podczas podążania za przekierowaniami w operacjach clone i fetch smart-HTTP. Problem naprawiono w wersjach 5.18.0 i 6.0.0-alpha.2.
- CVE-2026-71557Średnie
go-git to biblioteka implementująca git w czystym Go. Przed wersjami 5.19.2 i 6.0.0-alpha.5 nazwy referencji nie są sanityzowane przed użyciem do konstruowania ścieżek na dysku w katalogu przechowywania referencji, więc złośliwie spreparowana nazwa referencji (np. zawierająca sekwencje przechodzenia do katalogów) może spowodować zapis plików poza zamierzonym katalogiem. Wersje 5.19.2 i 6.0.0-alpha.5 naprawiają problem.
- CVE-2026-71556Wysokie
go-git przed wersjami 5.19.2 i 6.0.0-alpha.5 ma podatność, w której operacje na drzewie roboczym (checkout, status, add) rozwiązują dowiązania symboliczne bez ograniczania do granic drzewa roboczego. Złośliwie przygotowane repozytorium z dowiązaniem symbolicznym może spowodować odczyt lub zapis plików poza zamierzonym katalogiem roboczym.
- CVE-2026-34165Średnie
W bibliotece go-git (implementacja gita w czystym Go) w wersjach od 5.0.0 do przed 5.17.1 złośliwie spreparowany plik .idx może powodować asymetryczne zużycie pamięci, prowadząc do wyczerpania dostępnej pamięci i warunku odmowy usługi (DoS). Eksploatacja wymaga zapisu do katalogu .git lokalnego repozytorium w celu utworzenia lub zmodyfikowania plików .idx. Podatność została załatana w wersji 5.17.1.
- CVE-2026-33762Niskie
go-git to biblioteka implementująca Git w czystym Go. Przed wersją 5.17.1 dekoder indeksu dla formatu wersji 4 nie sprawdza poprawności długości prefiksu ścieżki przed zastosowaniem go do wcześniej zdekodowanej ścieżki. Złośliwie spreparowany plik indeksu może wywołać operację poza zakresem, prowadząc do paniki w czasie wykonywania podczas normalnego parsowania indeksu. Problem dotyczy tylko formatu indeksu Git w wersji 4; wcześniejsze formaty (v2 i v3) nie są podatne.
Oryginalny opis (angielski, źródło NVD)
go-git is a highly extensible git implementation library written in pure Go. Prior to 5.16.5, a vulnerability was discovered in go-git whereby data integrity values for .pack and .idx files were not properly verified. This resulted in go-git potentially consuming corrupted files, which would likely result in unexpected errors such as object not found. For context, clients fetch packfiles from upstream Git servers. Those files contain a checksum of their contents, so that clients can perform integrity checks before consuming it. The pack indexes (.idx) are generated locally by go-git, or the git cli, when new .pack files are received and processed. The integrity checks for both files were not being verified correctly. This vulnerability is fixed in 5.16.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS