GitPython 路径遍历漏洞 | KnowSafe漏洞情报平台

基本信息

漏洞ID：
漏洞类型：路径遍历
发布日期：2023-08-30 00:00:00
更新时间：2023-08-31 00:00:00
CVE编号：CVE-2023-41040
CNNVD-ID：CNNVD-202308-2413
漏洞平台：个人开发者
CVSS评分：

漏洞来源

暂无

漏洞详情

GitPython是gitpython-developers开源的一个用于与 Git 存储库交互的 Python 库。 GitPython 3.1.32及之前版本存在路径遍历漏洞，该漏洞源于为了解析一些 git 引用，GitPython 从目录中读取文件.git，在某些情况，GitPython 不会检查该文件是否位于目录之外.git，导致攻击者可以让 GitPython 从系统中读取任何文件。

参考资料

来源:MISC 链接:https://github.com/gitpython-developers/GitPython/security/advisories/GHSA-cwvm-v4w8-q58c 来源:MISC 链接:https://github.com/gitpython-developers/GitPython/blob/1c8310d7cae144f74a671cbe17e51f63a830adbf/git/refs/symbolic.py#L174-L175