Empresa
¿Quiénes somos? Visión y Valores
Herramientas
Email Checker Vigía DNS SSL Checker Password Strength HTTP Headers
Alertas
Todas las alertas Vulnerabilidades Incidentes Solo críticas En CISA KEV
Editorial
Análisis técnico ¿Cuál es mi IP?
Blog
Blog 2MCI ISO 27001 Amenazas LATAM Recursos Gratuitos eBook Gratuito Newsletter Podcast / YouTube
Empresa
Servicios Contacto Suscribirse al Newsletter
🆕 Nuevo en 2MCI
✨ Crear cuenta gratis 🛠️ Ver herramientas sin registro
Ya tengo cuenta
🔒 Iniciar sesión
Equipo
🏠 Portal interno 2MCI
Inicio/ Alertas/ Vulnerabilidad
Alto CVE-2026-73622 Multiple Vendors

Vulnerabilidad alta en GitPython permite exfiltración de secretos a través de expansión de variables

Vulnerabilidad · Publicado 13/08/2026

7.5
CVSS 3.x
04 Medio7 Alto9 Crítico10
Severidad: Alto
Resumen ejecutivo

GitPython versiones anteriores a 3.1.55 no desactiva correctamente la expansión de variables de entorno en los métodos Remote.create() y Submodule.add(), permitiendo a atacantes inyectar referencias de variables en URLs que se expanden en .git/config y .gitmodules. Durante operaciones de fetch o pull, estas variables se transmiten a servidores controlados por atacantes, comprometiendo tokens de acceso, credenciales de APIs y secretos almacenados en variables de entorno. Afecta desarrolladores y sistemas CI/CD que procesan repositorios no confiables.

Análisis asistido por IA, contexto LATAM revisado por el equipo 2MCI.

Descripción técnica

Descripción técnica

GitPython before 3.1.55 fails to disable environment variable expansion in Remote.create() and Submodule.add() URL handling, allowing attackers to exfiltrate secrets by supplying URLs containing variable references. Attackers can craft URLs with environment variable tokens that are expanded into .git/config and .gitmodules, then transmitted to attacker-controlled hosts during fetch or pull operations.

Puntuación CVSS

Score: 7.5/10 — Severidad: HIGH — Estado NIST: Received

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Debilidades (CWE)

CWE-200

Fuente oficial

Publicado en NIST NVD.

¿Qué hacer?
  • Actualizar GitPython a versión 3.1.55 o superior inmediatamente en todos los ambientes de desarrollo y CI/CD
  • Validar y resetear credenciales y tokens de acceso en repositorios potencialmente comprometidos
  • Implementar restricciones de permisos en variables de entorno críticas (AWS_SECRET_ACCESS_KEY, GITHUB_TOKEN, etc.)
  • Auditar logs de operaciones git en últimos 30 días para detectar comportamientos anómalos
  • Usar secretos managers en lugar de variables de entorno cuando sea posible

Fuentes originales

⬤ NIST NVD ↗
cve-2026-73622 nvd alto vulnerabilidad cwe-200
Esta alerta fue generada automáticamente a partir del NVD del NIST.
← Volver a todas las alertas