CVE-2026-110858
CVE-2026-110858 · GitPython 3.1.30 before 3.2.0 Command Injection via Remote.pull() Refspec
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
GitPython from 3.1.30 before 3.2.0 contains a remote code execution vulnerability in Remote.pull() whose unsafe-option guard inspects only keyword arguments, not the positional refspec. Attackers controlling the refspec can supply --upload-pack=<command> to execute OS commands as the calling process over local-path or SSH transports.
CVSS 9.2 · Crítica · EPSS 0,5% · Corrección disponible
- Publicación
- Actualización
Pila tecnológica: system · python
Productos y versiones afectados
gitpython
- Versiones
- ≥ 3.1.30, < 3.2.0: Afectada (semver)
- 3.2.0: No afectada (semver)
Actualiza a 3.2.0
python-git Debian:12
- Versiones
- 3.1.30-1
- 3.1.30-1+deb12u2
- 3.1.36-1
- 3.1.37-1
- 3.1.37-2
- 3.1.37-3
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- 3.1.62-1
- 3.1.62-2
- 3.1.62-3
- 3.2.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Debian:13
- Versiones
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- 3.1.62-1
- 3.1.62-2
- 3.1.62-3
- 3.2.1-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Debian:14
- Versiones
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- 3.1.62-1
- 3.1.62-2
- 3.1.62-3
- Intervalos de versiones afectados
- ECOSYSTEM: < 3.2.1-1
Actualiza a 3.2.1-1
gitpython PyPI
- Versiones
- 3.1.30
- 3.1.31
- 3.1.32
- 3.1.33
- 3.1.34
- 3.1.35
- 3.1.36
- 3.1.37
- 3.1.38
- 3.1.40
- 3.1.41
- 3.1.42
- 3.1.43
- 3.1.44
- 3.1.45
- 3.1.46
- 3.1.47
- 3.1.48
- 3.1.49
- 3.1.50
- 3.1.51
- 3.1.52
- 3.1.53
- 3.1.54
- 3.1.55
- 3.1.56
- 3.1.57
- 3.1.58
- 3.1.59
- 3.1.60
- 3.1.61
- 3.1.62
- Intervalos de versiones afectados
- ECOSYSTEM: ≥ 3.1.30, < 3.2.0
Actualiza a 3.2.0
python-git Ubuntu:Pro:14.04:LTS
- Versiones
- 0.3.2~RC1-2
- 0.3.2~RC1-3
- 0.3.2~RC1-3ubuntu0.1~esm1
- 0.3.2~RC1-3ubuntu0.1~esm2
- 0.3.2~RC1-3ubuntu0.1~esm3
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Ubuntu:Pro:16.04:LTS
- Versiones
- 1.0.1+git137-gc8b8379-1
- 1.0.1+git137-gc8b8379-2
- 1.0.1+git137-gc8b8379-2.1
- 1.0.1+git137-gc8b8379-2.1ubuntu0.1~esm1
- 1.0.1+git137-gc8b8379-2.1ubuntu0.1~esm2
- 1.0.1+git137-gc8b8379-2.1ubuntu0.1~esm4
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Ubuntu:Pro:18.04:LTS
- Versiones
- 2.1.5-1
- 2.1.6-1
- 2.1.7-1
- 2.1.8-1
- 2.1.8-1ubuntu0.1~esm1
- 2.1.8-1ubuntu0.1~esm2
- 2.1.8-1ubuntu0.1~esm4
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Ubuntu:Pro:20.04:LTS
- Versiones
- 2.1.11-1
- 3.0.4-1
- 3.0.5-1
- 3.0.7-1
- 3.0.7-1ubuntu0.1~esm1
- 3.0.7-1ubuntu0.1~esm2
- 3.0.7-1ubuntu0.1~esm4
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Ubuntu:Pro:22.04:LTS
- Versiones
- 3.1.14-1
- 3.1.23-1
- 3.1.24-1
- 3.1.24-1ubuntu0.1~esm1
- 3.1.24-1ubuntu0.1~esm2
- 3.1.24-1ubuntu0.1~esm3
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Ubuntu:Pro:24.04:LTS
- Versiones
- 3.1.30-1
- 3.1.37-1
- 3.1.37-3
- 3.1.37-3ubuntu0.1~esm2
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Ubuntu:26.10
- Versiones
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada
python-git Ubuntu:Pro:26.04:LTS
- Versiones
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.46-1ubuntu0.1~esm1
- Intervalos de versiones afectados
- ECOSYSTEM: (−∞, +∞)
Sin corrección publicada