Vulnerabilidad · Publicado 13/08/2026
GitPython versiones anteriores a 3.1.57 no valida correctamente los parámetros pasados a IndexFile.checkout() y TagReference.create(), permitiendo a atacantes inyectar opciones peligrosas de git como --prefix para sobrescribir archivos arbitrarios o -F para exfiltrar datos. Esta vulnerabilidad afecta principalmente a plataformas de CI/CD, sistemas de versionado y herramientas de automatización ampliamente utilizadas en empresas mexicanas y latinoamericanas.
GitPython before 3.1.57 fails to guard git option forwarding in IndexFile.checkout() and TagReference.create(), allowing attackers to pass unsafe options via kwargs. Attackers can use --prefix to overwrite arbitrary files with repository content or -F to read arbitrary files returned in-band.
Score: 8.1/10 — Severidad: HIGH — Estado NIST: Received
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
CWE-22
Publicado en NIST NVD.