Dans GitPython, `Head.checkout()` ne contrôle pas un nom de branche positionnel pouvant être interprété comme une option, ce qui peut conduire à la lecture de fichiers arbitraires lorsque le nom est construit de façon malveillante. L’avis présente ce problème comme une correction incomplète de CVE-2026-78679 ; les versions indiquées comme affectées sont `<= 3.1.62`, avec correction en `3.2.0`.
Source : GHSA-23mf-xhv8-69c2 — GitPython
Analyse technique
Le garde-fou ne vérifie que les arguments nommés ; le nom de branche passé en positionnel à `git checkout` peut être interprété comme option. L’avis décrit une fuite de fichiers arbitraires et une correction annoncée en 3.2.0.
Impact, versions et correctif
Action recommandée
Mettre à jour GitPython vers 3.2.0 et éviter de passer à `Head.checkout()` des noms de branche non fiables.
Sources
Priorisation DFS : P3 · 1 source(s).