GitPython vulnerable to remote code execution due to insufficient sanitization of input arguments

緊急 9.8CVE-2023-40267 · GHSA-pr76-5cm5-w9cj · PYSEC-2023-137 · 11/08/2023 公開 · 17/06/2026 更新

要点

CVE-2023-40267 は gitpython, gitpython (gitpython project) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：1.2%（全脆弱性の 67.8% より高い）。
対処：3.1.32 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
gitpython PyPI	`< 3.1.32`	`3.1.32`
gitpython gitpython_project	`< 3.1.32`	`3.1.32`

概要

GitPython before 3.1.32 does not block insecure non-multi options in clone and clone_from, making it vulnerable to Remote Code Execution (RCE) due to improper user input validation, which makes it possible to inject a maliciously crafted remote URL into the clone command. Exploiting this vulnerability is possible because the library makes external calls to git without sufficient sanitization of input arguments. NOTE: this issue exists because of an incomplete fix for CVE-2022-24439.

NVD の説明

GitPython before 3.1.32 does not block insecure non-multi options in clone and clone_from. NOTE: this issue exists because of an incomplete fix for CVE-2022-24439.

参考情報

gitpython のその他の脆弱性

すべて見る →

これらの製品をお使いですか？サイトをスキャンして、脆弱なバージョンが公開されていないか確認しましょう。

無料でサイトをスキャン

パッケージ

影響を受けるバージョン

修正済みバージョン

gitpython

PyPI

< 3.1.32

3.1.32