CVE-2026-110858
CVE-2026-110858 · GitPython 3.1.30 before 3.2.0 Command Injection via Remote.pull() Refspec
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
GitPython from 3.1.30 before 3.2.0 contains a remote code execution vulnerability in Remote.pull() whose unsafe-option guard inspects only keyword arguments, not the positional refspec. Attackers controlling the refspec can supply --upload-pack=<command> to execute OS commands as the calling process over local-path or SSH transports.
CVSS 9.2 · Critique · EPSS 0,5% · Correctif disponible
- Publication
- Mise à jour
Pile logicielle: system · python
Produits et versions concernés
gitpython
- Versions du logiciel
- ≥ 3.1.30, < 3.2.0: Concernée (semver)
- 3.2.0: Non concernée (semver)
Mettez à jour vers 3.2.0
python-git Debian:12
- Versions du logiciel
- 3.1.30-1
- 3.1.30-1+deb12u2
- 3.1.36-1
- 3.1.37-1
- 3.1.37-2
- 3.1.37-3
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- 3.1.62-1
- 3.1.62-2
- 3.1.62-3
- 3.2.1-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Debian:13
- Versions du logiciel
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- 3.1.62-1
- 3.1.62-2
- 3.1.62-3
- 3.2.1-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Debian:14
- Versions du logiciel
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- 3.1.62-1
- 3.1.62-2
- 3.1.62-3
- Plages de versions concernées
- ECOSYSTEM: < 3.2.1-1
Mettez à jour vers 3.2.1-1
gitpython PyPI
- Versions du logiciel
- 3.1.30
- 3.1.31
- 3.1.32
- 3.1.33
- 3.1.34
- 3.1.35
- 3.1.36
- 3.1.37
- 3.1.38
- 3.1.40
- 3.1.41
- 3.1.42
- 3.1.43
- 3.1.44
- 3.1.45
- 3.1.46
- 3.1.47
- 3.1.48
- 3.1.49
- 3.1.50
- 3.1.51
- 3.1.52
- 3.1.53
- 3.1.54
- 3.1.55
- 3.1.56
- 3.1.57
- 3.1.58
- 3.1.59
- 3.1.60
- 3.1.61
- 3.1.62
- Plages de versions concernées
- ECOSYSTEM: ≥ 3.1.30, < 3.2.0
Mettez à jour vers 3.2.0
python-git Ubuntu:Pro:14.04:LTS
- Versions du logiciel
- 0.3.2~RC1-2
- 0.3.2~RC1-3
- 0.3.2~RC1-3ubuntu0.1~esm1
- 0.3.2~RC1-3ubuntu0.1~esm2
- 0.3.2~RC1-3ubuntu0.1~esm3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Ubuntu:Pro:16.04:LTS
- Versions du logiciel
- 1.0.1+git137-gc8b8379-1
- 1.0.1+git137-gc8b8379-2
- 1.0.1+git137-gc8b8379-2.1
- 1.0.1+git137-gc8b8379-2.1ubuntu0.1~esm1
- 1.0.1+git137-gc8b8379-2.1ubuntu0.1~esm2
- 1.0.1+git137-gc8b8379-2.1ubuntu0.1~esm4
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Ubuntu:Pro:18.04:LTS
- Versions du logiciel
- 2.1.5-1
- 2.1.6-1
- 2.1.7-1
- 2.1.8-1
- 2.1.8-1ubuntu0.1~esm1
- 2.1.8-1ubuntu0.1~esm2
- 2.1.8-1ubuntu0.1~esm4
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Ubuntu:Pro:20.04:LTS
- Versions du logiciel
- 2.1.11-1
- 3.0.4-1
- 3.0.5-1
- 3.0.7-1
- 3.0.7-1ubuntu0.1~esm1
- 3.0.7-1ubuntu0.1~esm2
- 3.0.7-1ubuntu0.1~esm4
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Ubuntu:Pro:22.04:LTS
- Versions du logiciel
- 3.1.14-1
- 3.1.23-1
- 3.1.24-1
- 3.1.24-1ubuntu0.1~esm1
- 3.1.24-1ubuntu0.1~esm2
- 3.1.24-1ubuntu0.1~esm3
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Ubuntu:Pro:24.04:LTS
- Versions du logiciel
- 3.1.30-1
- 3.1.37-1
- 3.1.37-3
- 3.1.37-3ubuntu0.1~esm2
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Ubuntu:26.10
- Versions du logiciel
- 3.1.46-1
- 3.1.50-1
- 3.1.61-1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié
python-git Ubuntu:Pro:26.04:LTS
- Versions du logiciel
- 3.1.44-1
- 3.1.45-1
- 3.1.46-1
- 3.1.46-1ubuntu0.1~esm1
- Plages de versions concernées
- ECOSYSTEM: (−∞, +∞)
Aucun correctif publié