GitPython 3.1.59 не ограничивает параметр --no-index в высокоуровневом API различий, что позволяет злоумышленникам читать произвольные пути к файловой системе в качестве операндов репозитория. Злоумышленники могут комбинировать --no-index с -I/--ignore-matching-lines для создания зависящего от содержимого логического оракула, неоднократно запрашивающего локальные файлы для восстановления однострочных секретов посредством различимых ответов об успехе или ошибке.
Показать оригинальное описание (EN)
GitPython 3.1.59 fails to restrict the --no-index option in the high-level diff API, allowing attackers to read arbitrary filesystem paths as repository operands. Attackers can combine --no-index with -I/--ignore-matching-lines to create a content-dependent Boolean oracle, repeatedly querying local files to recover single-line secrets through distinguishable success or error responses.
Характеристики атаки
Последствия
Строка CVSS v4.0
Тип уязвимости (CWE)
Уязвимые продукты 1
| Конфигурация | От (включительно) | До (исключительно) |
|---|---|---|
|
Gitpython_Project Gitpython
cpe:2.3:a:gitpython_project:gitpython:*:*:*:*:*:*:*:*
|
3.1.59
|
3.1.60
|