Anmelden
Deutsch English Español Polski
Kritisch

GitPython vulnerable to remote code execution due to insufficient sanitization of input arguments

  • Veröffentlicht: 11.08.2023
  • Aktualisiert: 11.10.2026 12:19

GitPython before 3.1.32 does not block insecure non-multi options in clone and clone_from, making it vulnerable to Remote Code Execution (RCE) due to improper user input validation, which makes it possible to inject a maliciously crafted remote URL into the clone command. Exploiting this vulnerability is possible because the library makes external calls to git without sufficient sanitization of input arguments. NOTE: this issue exists because of an incomplete fix for CVE-2022-24439.

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

PlattformPaketAnfällige VersionenBehoben in
Python (PyPI) gitpython < 3.1.32 3.1.32

Verweise

CVSS-Wert 9.8/10
CVSS-Vektor
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE)
CWE-78
Plattform
Python (PyPI)
Paket
gitpython
Veröffentlicht
11.08.2023
Aktualisiert
11.10.2026 12:19

Quellen und Lizenzen

OSV / GitHub Advisory Database - PYSEC-2023-137 - PyPA Advisory Database; CC BY 4.0

OSV / GitHub Advisory Database - GHSA-pr76-5cm5-w9cj - CC BY 4.0

Schwachstellenhistorie: gitpython

Alle veröffentlichten Schwachstellen dieses Pakets (Python (PyPI)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (37) im Archiv
Einträge insgesamt
37
Erste → letzte
12.2022 09.2026
Ohne Fix
0
In Angriffen ausgenutzt
0

Verteilung nach Schweregrad

  • Kritisch 3
  • Hoch 26
  • Mittel 8

Veröffentlichungen pro Jahr

Schweregrad:
  1. GitPython vulnerable to remote code execution due to insufficient sanitization of input arguments dieser Eintrag
    Kritisch · 9.8 CVE-2023-40267 < 3.1.32 3.1.32
  2. GitPython: Denial of Service via catastrophic backtracking (ReDoS) in Actor.name_email_regex — commit author/committer field parsing
    Hoch · 7.5 CVE-2026-87819 < 3.1.60 3.1.60
  3. GitPython: Repository content can impersonate the git directory, leading to arbitrary code execution
    Hoch · 8.8 CVE-2026-87817 < 3.1.60 3.1.60
  4. GitPython: Dormant multi-line git-config values are corrupted into live injected directives (e.g. core.hooksPath) on any unrelated GitConfigParser write, enabling RCE
    Kritisch · 9.8 CVE-2026-78676 < 3.1.59 3.1.59
  5. GitPython: clone_from()/clone() omit --separate-git-dir from unsafe_git_clone_options, enabling arbitrary git-directory creation outside the destination
    Hoch · 7.5 CVE-2026-78677 < 3.1.59 3.1.59
  6. GitPython: Arbitrary local file content disclosure via [include] directive in untrusted .gitmodules (SubmoduleConfigParser never disables merge_includes)
    Hoch · 8.4 CVE-2026-78675 < 3.1.59 3.1.59
  7. GitPython: Unsafe git option guard bypass via split_single_char_options=False short-option token smuggling enables command execution
    Hoch · 8.8 CVE-2026-76220 < 3.1.58 3.1.58
  8. GitPython: git-config OPTION-name injection via =/#/whitespace bypasses name validator, enabling forged core.sshCommand/hooksPath (RCE)
    Hoch · 8.8 CVE-2026-76221 < 3.1.58 3.1.58
  9. GitPython: Arbitrary Git Repository Creation Outside the Working Tree via Unvalidated .gitmodules Submodule Name in GitPython
    Hoch · 8.2 CVE-2026-76222 < 3.1.58 3.1.58
  10. GitPython: Unguarded git option forwarding in Repo.init enables arbitrary command execution via --template clone hooks
    Hoch · 7.5 CVE-2026-76218 < 3.1.58 3.1.58
  11. GitPython: Unguarded git read-tree option forwarding in IndexFile.from_tree/reset/merge_tree enables arbitrary file overwrite
    Hoch · 8.1 CVE-2026-76219 < 3.1.58 3.1.58
  12. GitPython: Unguarded git option forwarding in IndexFile.checkout() and TagReference.create() enables arbitrary file overwrite and arbitrary file read
    Hoch · 8.1 CVE-2026-73620 < 3.1.57 3.1.57
  13. GitPython: Environment-variable exfiltration via Repo.create_remote() / Remote.add() URL (incomplete fix of GHSA-rwj8-pgh3-r573)
    Hoch · 7.5 CVE-2026-73622 < 3.1.55 3.1.55
  14. GitPython: Unsafe git option guard bypass via single-character kwarg value token smuggling enables arbitrary command execution
    Hoch · 8.8 CVE-2026-73625 < 3.1.54 3.1.54
  15. GitPython: Incomplete unsafe_git_clone_options denylist omits --template enabling arbitrary command execution via clone hooks
    Hoch · 7.5 CVE-2026-73623 < 3.1.54 3.1.54
  16. GitPython: Arbitrary file overwrite via git diff --output argument injection in Diffable.diff (key- and value-controlled)
    Hoch · 8.1 CVE-2026-73624 < 3.1.54 3.1.54
  17. GitPython: git-config section-name injection enables arbitrary config directives (core.sshCommand RCE)
    Hoch · 7.0 CVE-2026-69097 < 3.1.53 3.1.53
  18. GitPython: Environment-variable exfiltration via os.path.expandvars() on Repo.clone_from() URL
    Hoch · 7.5 CVE-2026-67322 < 3.1.52 3.1.52
  19. GitPython: command injection via unguarded Git options in `Repo.archive()`, `git.ls_remote()`, and arbitrary file overwrite via `Repo.iter_commits()` / `Repo.blame()`
    Hoch · 8.4 CVE-2026-67323 < 3.1.51 3.1.51
  20. GitPython: Command Injection via git long-option prefix abbreviation bypass of CVE-2026-42215 blocklist
    Hoch · 8.8 CVE-2026-67325 < 3.1.51 3.1.51
  21. GitPython 3.1.50 fails to recognize joined short-option forms such as -u<value> (the short form of --upload-pack=<value>) when enforcing its default unsafe-option gate. When an application passes atta
    Hoch CVE-2026-67324 >= 3.1.50, < 3.1.51 3.1.51
Mehr anzeigen (8) 21 von 29 angezeigt

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden
DockRay Newsletter

Anwendungssicherheit in Ihrem Postfach

Wichtige Schwachstellen, konkrete Empfehlungen und praktische Tipps für Ihre Anwendungen. Wählen Sie Ihre Technologien und verfolgen Sie, was für Ihr Projekt relevant ist.

  • Eine tägliche Zusammenfassung neuer Schwachstellen, auch kritischer.
  • Benachrichtigungen über wichtige Updates.
  • Praktische Tipps zur Sicherheit und Überwachung von Anwendungen.

Leer lassen, um Meldungen zu allen Technologien zu erhalten.

Datenschutzerklärung

Kostenlos anmelden. In jeder E-Mail mit einem Klick abmelden.