checkout-index - CVE-2025-22620 के लिए पुनरुत्पादक

यह RUSTSEC-2025-0001 (CVE-2025-22620, GHSA-fqmf-w4xh-33rh) के लिए प्रूफ ऑफ कॉन्सेप्ट कोड है। यह एडवाइज़री में दिए गए कोड के समान है, लेकिन एक Rust प्रोजेक्ट के रूप में, जिसमें Cargo.toml और Cargo.lock शामिल हैं।

यह रेपो एडवाइज़री लिखते समय उपयोगी था, और मुझे लगा कि यह कभी-कभी दूसरों के लिए भी उपयोगी हो सकता है। हालाँकि, मुझे उम्मीद है कि यह एडवाइज़री की तुलना में बहुत कम रुचि का होगा, और यह एडवाइज़री में दी गई जानकारी का विकल्प भी नहीं है। जैसा कि एडवाइज़री में बताया गया है, यह भेद्यता gix-worktree-state 0.17.0 में ठीक कर दी गई है।

शाखाएँ

• main शाखा में एडवाइज़री के चरण 2 में प्रस्तुत कोड का संस्करण है।
• unaffected-case शाखा में चरण 7 में वर्णित संशोधन है, जो destination_is_initially_empty: true स्पष्ट रूप से सेट करने के प्रभाव को दर्शाता है।
• patched-version शाखा अद्यतन निर्भरताओं का उपयोग करती है, जिसमें इसकी ट्रांज़िटिव gix-worktree-state निर्भरता का संस्करण 0.17.0 शामिल है। यह दिखाने के लिए है कि भेद्यता ठीक कर दी गई है (और गैर-भेद्य व्यवहार कैसा दिखता है)।

main और unaffected-case शाखाएँ जानबूझकर भेद्य निर्भरता संस्करणों का उपयोग करती हैं, ताकि उन महत्वपूर्ण मामलों को प्रदर्शित किया जा सके जहाँ भेद्य व्यवहार देखा जाता है और नहीं देखा जाता है, जब gix-worktree-state का कोई भेद्य संस्करण उपयोग किया जाता है।

लाइसेंस

CC0-1.0, RUSTSEC एडवाइज़री के समान।