p PatchFirst

CVE-2026-114098

CVE-2026-114098 · Dulwich 0.22.5 before 1.2.8 Path Traversal via Stash Pop Symlinks

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

Dulwich from 0.22.5 before 1.2.8 contains a path traversal vulnerability in stash.py pop() that allows attackers to write arbitrary files outside the worktree through intermediate directory symlinks. Attackers can craft a malicious repository whose popped stash writes a payload into .git/hooks/post-checkout, achieving code execution on the next checkout.

CVSS 7.3 · Alta · EPSS 0,2% · Corrección disponible

Publicación
Actualización

Pila tecnológica: system · python

Productos y versiones afectados

  • dulwich

    Versiones
    • ≥ 0.22.5, < 1.2.8: Afectada (semver)
    • 1.2.8: No afectada (semver)

    Actualiza a 1.2.8

  • dulwich Debian:12

    Versiones
    • 0.21.2-1
    • 0.21.5-1
    • 0.21.6-1
    • 0.22.5-1
    • 0.22.7-1
    • 0.22.7-2
    • 0.24.10-1
    • 0.24.2-1
    • 0.24.2-2
    • 1.0.0-1
    • 1.0.0-2
    • 1.1.0-1
    • 1.1.0-2
    • 1.1.0-3
    • 1.2.0-1
    • 1.2.1-1
    • 1.2.11-1
    • 1.2.12-1
    • 1.2.17-1
    • 1.2.5-1
    • 1.2.7-1
    • 1.2.7-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dulwich Debian:13

    Versiones
    • 0.22.7-1
    • 0.22.7-2
    • 0.24.10-1
    • 0.24.2-1
    • 0.24.2-2
    • 1.0.0-1
    • 1.0.0-2
    • 1.1.0-1
    • 1.1.0-2
    • 1.1.0-3
    • 1.2.0-1
    • 1.2.1-1
    • 1.2.11-1
    • 1.2.12-1
    • 1.2.17-1
    • 1.2.5-1
    • 1.2.7-1
    • 1.2.7-2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dulwich Debian:14

    Versiones
    • 0.22.7-1
    • 0.22.7-2
    • 0.24.10-1
    • 0.24.2-1
    • 0.24.2-2
    • 1.0.0-1
    • 1.0.0-2
    • 1.1.0-1
    • 1.1.0-2
    • 1.1.0-3
    • 1.2.0-1
    • 1.2.1-1
    • 1.2.5-1
    • 1.2.7-1
    • 1.2.7-2
    Intervalos de versiones afectados
    • ECOSYSTEM: < 1.2.8-1

    Actualiza a 1.2.8-1

  • dulwich PyPI

    Versiones
    • 0.22.5
    • 0.22.6
    • 0.22.7
    • 0.22.8
    • 0.23.0
    • 0.23.1
    • 0.23.2
    • 0.24.0
    • 0.24.1
    • 0.24.10
    • 0.24.2
    • 0.24.3
    • 0.24.4
    • 0.24.5
    • 0.24.6
    • 0.24.7
    • 0.24.8
    • 0.24.9
    • 0.25.0
    • 0.25.1
    • 0.25.2
    • 1.0.0
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.2.3
    • 1.2.4
    • 1.2.5
    • 1.2.6
    • 1.2.7
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 0.22.5, < 1.2.8

    Actualiza a 1.2.8

  • dulwich Ubuntu:16.04:LTS

    Versiones
    • 0.11.2-1ubuntu1
    • 0.12.0-1
    • 0.12.0-1build1
    • 0.12.0-1build2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dulwich Ubuntu:18.04:LTS

    Versiones
    • 0.18.2-1build1
    • 0.18.5-1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dulwich Ubuntu:20.04:LTS

    Versiones
    • 0.19.11-2
    • 0.19.14-4ubuntu1
    • 0.19.15-1
    • 0.19.15-1build1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dulwich Ubuntu:22.04:LTS

    Versiones
    • 0.20.15-1ubuntu1
    • 0.20.31-1ubuntu1
    • 0.20.31-1.1
    • 0.20.31-1.1build1
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dulwich Ubuntu:24.04:LTS

    Versiones
    • 0.21.6-1
    • 0.21.6-1build1
    • 0.21.6-1build2
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

  • dulwich Ubuntu:26.04:LTS

    Versiones
    • 0.22.7-1
    • 0.24.2-2
    • 1.1.0-2ubuntu1
    • 1.1.0-3
    Intervalos de versiones afectados
    • ECOSYSTEM: (−∞, +∞)

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →