← Back
CVE-2026-78675
high
CVSS 8.4
GitPython before 3.1.59 fails to disable merge_includes when parsing .gitmodules, allowing...
Summary
GitPython before 3.1.59 fails to disable merge_includes when parsing .gitmodules, allowing...
AI summary openai / gpt-4o
GitPythonのバージョン3.1.59以前には、.gitmodulesファイルの解析時にmerge_includesが無効化されないという脆弱性があります。攻撃者は任意のファイルパスを含む.gitmodulesを使用して、ローカルファイルの内容を開示する可能性があります。この問題により、攻撃者はリポジトリ内の敏感な情報にアクセスすることが可能です。
❓ What is the problem
.gitmodulesの解析時にmerge_includesが無効化されない脆弱性
📍 Affected scope
GitPythonバージョン3.1.59以前
🔥 Severity
攻撃者が任意のファイルパスを含めることで、ローカルファイルの内容が開示される可能性があります。重要な情報が漏洩するリスクがあります。
🔧 How to fix
GitPythonをバージョン3.1.59に更新してください。
🛡️ Workaround
該当の.gitmodulesファイルを手動で確認し、信頼できないincludeディレクティブを削除する。
🔍 Detection
リポジトリ内の.gitmodulesファイルに信頼できないincludeディレクティブが含まれていないか確認する。