isomorphic-git : écriture de fichiers hors de la racine de travail via une entrée `..`

Veille sécuritéBackend & données

P4Moyenne

isomorphic-git avant 1.38.6 pouvait accepter une entrée d’arbre `..` lors d’un clone ou d’un checkout depuis une source Git malveillante, permettant d’écrire hors de la racine de travail. Cette écriture arbitraire pouvait écraser des fichiers et conduire à une exécution de code ; mettez à niveau vers 1.38.6 ou une version ultérieure.

IdentifiantCVE-2026-63478

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif1.38.6

Source : NVD — CVE-2026-63478

Analyse technique

Le parseur d’arbres de `src/models/GitTree.js` rejetait les séparateurs de chemin, mais pas un nom d’entrée égal à `..`. Le scénario décrit concerne les clones ou checkouts depuis des dépôts non hébergés par GitHub ; les arbres GitHub sont rejetés lors de leurs contrôles d’intégrité.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-11-03T20:18:16.240Z, comprise dans la période demandée ; l’événement retenu est la publication de la vulnérabilité, et non une simple modification administrative ultérieure.

ImpactUn dépôt spécialement conçu peut faire écrire des fichiers à des chemins parents de la racine de travail sur un système de fichiers hôte, avec un risque d’écrasement de fichiers et d’exécution de code.

Versions affectéesVersions antérieures à 1.38.6

Version corrigée1.38.6

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.3

Publication2026-11-03T20:18:16.240Z

Mise à jour2026-11-03T20:18:16.367Z

Action recommandée

Mettre à niveau isomorphic-git vers la version 1.38.6 ou ultérieure et éviter les clones ou checkouts depuis des sources non fiables avant la mise à niveau.

Sources

NVD — CVE-2026-63478

Priorisation DFS : P4 · 1 source(s).