CVE-2026-71557
go-git: Los nombres de referencia maliciosos pueden modificar archivos fuera del almacenamiento de referencias
- Publicado
- 7 ago 2026
- Actualizado
- 7 ago 2026
- Asignación de CNA
- GitHub_M
- Evidencia observada
- 8 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:U/C:N/I:H/A:LBajo · próximos 30 días
- Percentil
- 34,2 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
go-git es una biblioteca de implementación de git extensible escrita en Go puro. Antes de las versiones 5.19.2 y 6.0.0-alpha.5, los nombres de referencia no se sanean antes de usarse para construir rutas en disco dentro del directorio de almacenamiento de referencias, por lo que un nombre de referencia manipulado maliciosamente (por ejemplo, que contenga secuencias de traversal de directorios) puede hacer que go-git escriba archivos fuera del directorio de almacenamiento de referencias previsto. Las versiones 5.19.2 y 6.0.0-alpha.5 corrigen el problema.
Fuentes
Prueba de concepto local para CVE-2026-71557 que demuestra el path traversal en el almacenamiento de referencias del sistema de archivos de go-git, incluyendo la lógica de explotación y la comparación entre versiones vulnerables y corregidas.
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.