eliahkagan/checkout-indexRiproduttore per CVE-2025-22620
Questo è il codice proof of concept per RUSTSEC-2025-0001 (CVE-2025-22620, GHSA-fqmf-w4xh-33rh. È lo stesso codice presente nell'avviso, ma sotto forma di un progetto Rust, con Cargo.toml e Cargo.lock inclusi.
Questo repository è stato utile durante la stesura dell'avviso, e ho pensato che potrebbe occasionalmente essere utile ad altri. Tuttavia, mi aspetto che sia di molto meno interesse rispetto all'avviso, e inoltre questo non sostituisce le informazioni contenute nell'avviso. Come indicato nell'avviso, la vulnerabilità è risolta in gix-worktree-state 0.17.0.
main contiene la versione del codice presentata nel passaggio 2 dell'avviso.unaffected-case contiene la modifica descritta nel passaggio 7 per mostrare l'effetto dell'impostazione esplicita di destination_is_initially_empty: true.patched-version utilizza dipendenze aggiornate, inclusa la versione 0.17.0 della sua dipendenza transitiva gix-worktree-state. Questo serve per mostrare che la vulnerabilità è stata corretta (e come si presenta il comportamento non vulnerabile).I branch main e unaffected-case utilizzano deliberatamente versioni vulnerabili delle dipendenze, per dimostrare casi significativi in cui il comportamento vulnerabile si osserva o non si osserva, quando viene utilizzata una versione vulnerabile di gix-worktree-state.
CC0-1.0, come l'avviso RUSTSEC.