Powerline Gitstatus vulnerable to arbitrary code execution
powerline-gitstatus (aka Powerline Gitstatus) before 1.3.2 allows arbitrary code execution. git repositories can contain per-repository configuration that changes the behavior of git, including running arbitrary commands. When using powerline-gitstatus, changing to a directory automatically runs git commands in order to display information about the current repository in the prompt. If an attacker can convince a user to change their current directory to one controlled by the attacker, such as in a shared filesystem or extracted archive, powerline-gitstatus will run arbitrary commands under the attacker's control. NOTE: this is similar to CVE-2022-20001.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Python (PyPI) | powerline-gitstatus | < 1.3.2 | 1.3.2 |
Odnośniki
- https://nvd.nist.gov/vuln/detail/CVE-2022-42906
- https://github.com/jaspernbrouwer/powerline-gitstatus/issues/45
- https://github.com/jaspernbrouwer/powerline-gitstatus/commit/fe8e963b3489e4cceaa2c1f26f2bcc2ef405364c
- https://github.com/jaspernbrouwer/powerline-gitstatus
- https://github.com/jaspernbrouwer/powerline-gitstatus/releases/tag/v1.3.2
- https://lists.debian.org/debian-lts-announce/2023/01/msg00017.html
- https://pypi.org/project/powerline-gitstatus
- https://github.com/advisories/GHSA-w67g-6gjv-c599
- Wektor CVSS
CVSS:3.1/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H- Słabość (CWE)
CWE-77, CWE-94- Platforma
- Python (PyPI)
- Paczka
powerline-gitstatus- Ujawniono
- 13.10.2022
- Aktualizacja
- 11.10.2026 13:18
Źródła i licencje
OSV / GitHub Advisory Database - PYSEC-2026-898 - PyPA Advisory Database; CC BY 4.0
OSV / GitHub Advisory Database - GHSA-w67g-6gjv-c599 - CC BY 4.0
Historia podatności: powerline-gitstatus
Wszystkie opisane podatności tej paczki (Python (PyPI)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
To jedyna znana podatność tej paczki.
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.