Veille sécuritéBackend & données
P3Élevée
Lors d’un `checkout`, isomorphic-git peut écrire un fichier à travers des composants de chemin symboliques sans les vérifier. Un dépôt malveillant peut ainsi provoquer l’écriture de fichiers hors de l’arbre de travail, avec risque d’exécution de code; le correctif est disponible dans la version 1.38.6.
JavaScriptNode.js
IdentifiantCVE-2026-63395
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif1.38.6
Source : NVD — CVE-2026-63395
Analyse technique
Le scénario courant implique un clone suivi d’un pull. L’impact décrit concerne notamment les systèmes Linux et macOS utilisant le fournisseur de fichiers Node.js; les limites diffèrent sous Windows et avec les fournisseurs virtuels.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-11-03 à 20:18:14 UTC, soit le 2026-11-03 à 22:18:14 +02:00, dans la période demandée.
ImpactÉcriture arbitraire de fichiers sur l’hôte et exécution de code potentielle.
Versions affectéesVersions antérieures à 1.38.6
Version corrigée1.38.6
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.8
Publication2026-11-03T22:18:14+02:00
Mise à jour2026-11-04T00:19:47+02:00
Action recommandée
Mettre à jour isomorphic-git vers la version 1.38.6 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).