p PatchFirst

CVE-2026-44971

CVE-2026-44971 · GuardDog: Blind GitHub URL rewrite in remote project scanning causes SSRF and `GH_TOKEN` exfiltration

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

GuardDog is a CLI tool to identify malicious PyPI packages. From 1.0.0 to 2.9.0, the programmatic remote project scanning path rewrites attacker-controlled repository URLs using a blind string replacement and then sends the caller's GitHub credentials with the resulting request. This allows an attacker who can influence the scanned repository URL to trigger SSRF and capture the GH_TOKEN used by GuardDog. This vulnerability is fixed in .

CVSS 8.2 · Alta · EPSS 0,2%

Publicación
Actualización

Pila tecnológica: python

Productos y versiones afectados

  • guarddog

    Versiones
    • >= 1.0.0, <= 2.9.0: Afectada

    Sin corrección publicada

  • guarddog PyPI

    Versiones
    • 1.0.0
    • 1.0.1
    • 1.0.2
    • 1.1.0
    • 1.1.1
    • 1.1.2
    • 1.1.3
    • 1.1.4
    • 1.10.0
    • 1.10.1
    • 1.11.0
    • 1.11.1
    • 1.11.2
    • 1.2
    • 1.2.1
    • 1.3.0
    • 1.4.0
    • 1.5.0
    • 1.5.1
    • 1.5.2
    • 1.5.3
    • 1.5.4
    • 1.5.5
    • 1.5.6
    • 1.5.7
    • 1.5.8
    • 1.6.0
    • 1.7.0
    • 1.8.0
    • 1.8.1
    • 1.8.2
    • 1.9.0
    • 2.0.0
    • 2.0.1
    • 2.0.2
    • 2.0.3
    • 2.0.4
    • 2.0.5
    • 2.0.6
    • 2.1.0
    • 2.2.0
    • 2.3.0
    • 2.4.0
    • 2.5.0
    • 2.6.0
    • 2.7.0
    • 2.7.1
    • 2.8.4
    • 2.9.0
    Intervalos de versiones afectados
    • ECOSYSTEM: ≥ 1.0.0, ≤ 2.9.0

    Sin corrección publicada

Fuentes originales

Comprueba tu servidor →