CVE-2026-41506
ŚrednieCVSS 4.7Streszczenie
go-git to biblioteka implementacji git w czystym Go. W wersjach przed 5.18.0 i 6.0.0-alpha.2 może ujawniać dane uwierzytelniania HTTP podczas podążania za przekierowaniami w operacjach clone i fetch smart-HTTP. Problem naprawiono w wersjach 5.18.0 i 6.0.0-alpha.2.
Ocena ryzyka
Poświadczenia HTTP mogą wyciec do nieautoryzowanego serwera wskutek przekierowania, co może umożliwić atakującemu przejęcie konta lub dostęp do repozytoriów.
Rekomendacja
Zaktualizuj bibliotekę go-git do wersji 5.18.0 lub 6.0.0-alpha.2 (lub nowszej). Do czasu aktualizacji unikaj operacji clone/fetch przez niezaufane serwery proxy lub przekierowujące.
Inne podatności w go-git
Zobacz wszystkie- CVE-2026-25934Średnie
go-git to biblioteka implementacji git w czystym Go. Przed wersją 5.16.5 wykryto podatność, w której wartości integralności danych dla plików .pack i .idx nie były prawidłowo weryfikowane, co mogło prowadzić do przetwarzania uszkodzonych plików i nieoczekiwanych błędów, takich jak "object not found". Klienci pobierają pliki pack z serwerów Git, które zawierają sumy kontrolne, ale go-git nie weryfikował ich poprawnie.
- CVE-2026-71557Średnie
go-git to biblioteka implementująca git w czystym Go. Przed wersjami 5.19.2 i 6.0.0-alpha.5 nazwy referencji nie są sanityzowane przed użyciem do konstruowania ścieżek na dysku w katalogu przechowywania referencji, więc złośliwie spreparowana nazwa referencji (np. zawierająca sekwencje przechodzenia do katalogów) może spowodować zapis plików poza zamierzonym katalogiem. Wersje 5.19.2 i 6.0.0-alpha.5 naprawiają problem.
- CVE-2026-71556Wysokie
go-git przed wersjami 5.19.2 i 6.0.0-alpha.5 ma podatność, w której operacje na drzewie roboczym (checkout, status, add) rozwiązują dowiązania symboliczne bez ograniczania do granic drzewa roboczego. Złośliwie przygotowane repozytorium z dowiązaniem symbolicznym może spowodować odczyt lub zapis plików poza zamierzonym katalogiem roboczym.
- CVE-2026-34165Średnie
W bibliotece go-git (implementacja gita w czystym Go) w wersjach od 5.0.0 do przed 5.17.1 złośliwie spreparowany plik .idx może powodować asymetryczne zużycie pamięci, prowadząc do wyczerpania dostępnej pamięci i warunku odmowy usługi (DoS). Eksploatacja wymaga zapisu do katalogu .git lokalnego repozytorium w celu utworzenia lub zmodyfikowania plików .idx. Podatność została załatana w wersji 5.17.1.
- CVE-2026-33762Niskie
go-git to biblioteka implementująca Git w czystym Go. Przed wersją 5.17.1 dekoder indeksu dla formatu wersji 4 nie sprawdza poprawności długości prefiksu ścieżki przed zastosowaniem go do wcześniej zdekodowanej ścieżki. Złośliwie spreparowany plik indeksu może wywołać operację poza zakresem, prowadząc do paniki w czasie wykonywania podczas normalnego parsowania indeksu. Problem dotyczy tylko formatu indeksu Git w wersji 4; wcześniejsze formaty (v2 i v3) nie są podatne.
Oryginalny opis (angielski, źródło NVD)
go-git is an extensible git implementation library written in pure Go. Prior to versions 5.18.0 and 6.0.0-alpha.2, go-git may leak HTTP authentication credentials when following redirects during smart-HTTP clone and fetch operations. This issue has been patched in versions 5.18.0 and 6.0.0-alpha.2.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS