`Submodule.move()` de GitPython peut suivre un lien symbolique intermédiaire contrôlé par le contenu d’un dépôt et déplacer le sous-module hors de l’arborescence de travail. Le scénario nécessite que l’application initialise le sous-module puis appelle `move()` sur un chemin situé sous ce lien ; la mise à jour vers `3.2.0` corrige le problème selon l’avis.
Source : GHSA-gq48-pqfc-9p58 — GitPython
Analyse technique
Un dépôt non fiable peut contenir un lien symbolique intermédiaire vers un répertoire extérieur. L’appel applicatif à `Submodule.move()` peut alors déplacer le checkout vers ce répertoire et altérer l’index et la configuration du dépôt parent.
Impact, versions et correctif
Action recommandée
Mettre à jour GitPython vers 3.2.0 et éviter d’appeler `Submodule.move()` sur un chemin sous un lien symbolique provenant d’un dépôt non fiable.
Sources
Priorisation DFS : P4 · 1 source(s).