Git

simple-git, eine Schnittstelle zum Ausführen von Git-Befehlen in Node.js-Anwendungen, weist in den Versionen 3.15.0 bis 3.32.2 eine Schwachstelle auf, die die Korrekturen zweier früherer Schwachstellen umgeht und eine vollständige Remote-Code-Ausführung auf dem Host-System ermöglicht. Laut Quelle enthält Version 3.23.0 einen aktualisierten Fix. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %. Empfohlene Massnahme: gemäss Quelle auf eine Version mit dem aktualisierten Fix aktualisieren.

Die Versionen des Pakets simple-git vor 3.36.0 sind durch eine unvollständige Behebung von CVE-2022-25912 anfällig für Remote Code Execution: Die frühere Korrektur blockiert die Option -c, nicht aber die gleichwertige Form --config. Wenn nicht vertrauenswürdige Eingaben das options-Argument von simple-git erreichen, kann ein Angreifer durch Aktivieren von protocol.ext.allow=always und eine ext::-Klonquelle beliebigen Code ausführen. CVSS-Basiswert: 9.8 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: auf Version 3.36.0 oder neuer aktualisieren.

go-git ist eine erweiterbare Git-Implementierung in reinem Go. In den Versionen vor 5.19.1 und 6.0.0-alpha.4 baut der SSH-Transport von go-git das Remote-Exec-Kommando zusammen, indem der Repository-Pfad in Anführungszeichen gesetzt wird – was sich manipulieren lässt. CVSS-Basiswert: 9.6 (Kritisch). Ausnutzungswahrscheinlichkeit (EPSS): 0.0 %. Empfohlene Massnahme: go-git auf Version 5.19.1 bzw. 6.0.0-alpha.4 oder neuer aktualisieren.

In JetBrains TeamCity vor den Versionen 2026.1.2 und 2025.11.6 war eine Codeausführung über Git-VCS-Roots möglich. Ein Angreifer mit entsprechenden Berechtigungen konnte dies zur Kompromittierung des Servers ausnutzen. CVSS-Basiswert: 9.1 (Kritisch). Empfohlene Massnahme: Update auf TeamCity 2026.1.2 bzw. 2025.11.6 oder neuer.

go-git ist eine in reinem Go geschriebene Git-Implementierung. In Versionen vor v5.13 erlaubt eine Argument-Injection-Schwachstelle einem Angreifer, beliebige Werte für git-upload-pack-Flags zu setzen. Dies tritt nur beim File-Transport-Protokoll auf, da nur dieses auf die Git-Binaries auslagert. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: Aktualisierung auf Version 5.13.0.

In Git vor den Versionen 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 und 2.39.4 lassen sich Repositories mit Submodulen so präparieren, dass Git dazu gebracht wird, Dateien nicht in den Worktree des Submoduls, sondern in ein .git/-Verzeichnis zu schreiben. Damit lässt sich ein Hook anlegen, der noch während des laufenden Klonvorgangs ausgeführt wird. CVSS-Basiswert: 9.0 (Kritisch). Empfohlene Massnahme: Aktualisierung auf eine der behobenen Versionen; als Umgehung kann Symlink-Unterstützung deaktiviert werden.

In go-git-Versionen vor v5.11 wurde eine Path-Traversal-Schwachstelle entdeckt, die es einem Angreifer erlaubt, Dateien über das Dateisystem hinweg zu erstellen und zu verändern; im schlimmsten Fall ist Remote Code Execution möglich. Betroffen sind Anwendungen, die das ChrootOS verwenden (Standard bei den Plain-Varianten von Open und Clone, z. B. PlainClone). Anwendungen mit BoundOS oder In-Memory-Dateisystemen sind nicht betroffen; die git-CLI ist nicht betroffen. CVSS-Basiswert: 9.8 (Kritisch). Empfohlene Massnahme: auf v5.11 oder neuer aktualisieren.

GitPython vor Version 3.1.51 verwendet eine unvollständige Sperrliste für unsichere Optionen, die Gits Feature zur Abkürzung von Long-Option-Präfixen nicht berücksichtigt. Angreifer können dadurch die Absicherung gegen unsichere Optionen umgehen, indem sie abgekürzte Long-Option-Formen nutzen. CVSS-Basiswert: 8.8 (Hoch).

In dvladimirov MCP bis Version 0.1.0 besteht eine Schwäche in der Funktion GitSearchRequest der Datei mcp_server.py in der Komponente Git Search API. Eine Manipulation lässt sich über das Netzwerk ausnutzen. CVSS-Basiswert: 7.3 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.3 %.

Betroffene Versionen des Pakets degit vor 2.8.6 sowie ab 3.0.0 und vor 3.3.1 sind anfällig für Command Injection. Ursache ist eine unzureichende Bereinigung von Benutzereingaben für git-Shell-Kommandos, die direkt via exec aufgerufen werden. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 1.1 %. Empfohlene Massnahme: auf eine bereinigte Version aktualisieren (2.8.6 bzw. 3.3.1 oder höher).

GitPython vor Version 3.1.51 schützt nicht ausreichend vor gefährlichen Git-Optionen, die als Keyword-Argumente an Repo.archive() und git.ls_remote() übergeben werden. Dadurch ist Command Injection über Optionen wie --exec oder --upload-pack möglich. CVSS-Basiswert: 8.4 (Hoch).

Hermes WebUI vor Version 0.51.311 enthält laut NVD eine Schwachstelle zur Remote Code Execution, über die authentifizierte Angreifer beliebige Befehle ausführen können, indem sie eine bösartige, ausführbare Git-Konfiguration platzieren. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten ausnutzbar. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.9 %. Empfohlene Massnahme: auf Hermes WebUI 0.51.311 oder neuer aktualisieren.

Die Bibliothek simple-git ermöglicht das Ausführen nativer Git-Befehle aus JavaScript. Versionen bis einschliesslich 3.31.1 erlauben durch Manipulation von Git-Optionen die Ausführung beliebiger Befehle und umgehen dabei Schutzmassnahmen, die gefährliche Optionen wie -u und --upload-pack blockieren sollen. Ursache ist ein unvollständiger Fix für CVE-2022-25860: Da Gits flexible Optionsverarbeitung zahlreiche Zeichenkombinationen (z. B. -vu, -4u, -nu) zulässt, lässt sich die auf regulären Ausdrücken basierende Sperrliste umgehen. Behoben wurde dies in Version 3.32.0. CVSS-Basiswert: 8.1 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.7 %. Empfohlene Massnahme: auf Version 3.32.0 aktualisieren.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. In den Versionen ab 0.10.0 und vor 1.2.5 besteht beim Klonen ein beliebiger Dateischreibzugriff, der zu Remote Code Execution führen kann. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: Aktualisierung auf Dulwich 1.2.5 oder neuer.

Die HashiCorp-Bibliothek go-getter bis Version 1.8.5 kann über eine bösartig präparierte URL bei bestimmten Git-Operationen beliebiges Lesen von Dateien im Dateisystem erlauben. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

In der Pack-Git-Import-Funktion von Cribl Stream vor Version 4.18.2 werden symbolische Links unsachgemäss validiert. Ein remote authentifizierter Angreifer mit Berechtigungen für Pack-Import und Pipeline-Vorschau kann dies laut Quelle ausnutzen. CVSS-Basiswert: 8.8 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS) liegt in den Quelldaten nicht vor. Empfohlene Massnahme: auf Cribl Stream 4.18.2 oder neuer aktualisieren.

In Mistral Vibe vor Version 2.23.3 besteht eine Schwachstelle zur Remotecode-Ausführung. Angreifer können durch das Einbetten eines bösartigen core.fsmonitor-Hooks in die Datei .git/config eines Repositories beliebige Befehle ausführen lassen. CVSS-Basiswert: 8.8 (Hoch).

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. Ab Version 0.23.2 und vor Version 1.2.5 sind dulwich.porcelain.submodule_update und in der Folge porcelain.-Funktionen betroffen. CVSS-Basiswert: 7.5 (Hoch), Vektor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H – der Angriff erfolgt über das Netz ohne Authentifizierung und ohne Benutzerinteraktion und betrifft die Verfügbarkeit. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %. Empfohlene Massnahme: auf Version 1.2.5 oder neuer aktualisieren.

In der Komponente sshd-git von Apache MINA SSHD besteht unter Windows eine Path-Traversal-Schwachstelle. Apache MINA SSHD ist eine Java-Bibliothek für client- und serverseitige SSH-Funktionen; ein mit dieser Komponente umgesetzter Git-Server ist betroffen. CVSS-Basiswert: 7.1 (Hoch). Empfohlene Massnahme: verfügbare Hersteller-Updates einspielen.

In ansible-core besteht eine Schwachstelle: Die Funktion _extract_collection_from_git() in concrete_artifact_manager.py setzt git-clone-Kommandos ohne den Trenner „--“ (End-of-Options) zusammen, wodurch präparierte Eingaben als Optionen interpretiert werden können. Der CVSS-Basiswert liegt bei 7.8 (Hoch); die Ausnutzung erfolgt laut Vektor lokal und erfordert eine Nutzerinteraktion. Die Ausnutzungswahrscheinlichkeit (EPSS) beträgt 0.3 %. Ein aktualisierter Stand von ansible-core sollte eingespielt werden.

GitPython vor Version 3.1.52 ist anfällig für die Exfiltration von Umgebungsvariablen in Repo.clone_from(). Eine vom Aufrufer übergebene Remote-URL wird durch Git.polish_url() geleitet, welche auf Nicht-Cygwin-Plattformen eine entsprechende Verarbeitung aufruft, wodurch sensible Umgebungsdaten preisgegeben werden können. CVSS-Basiswert: 7.5 (Hoch).

BuildKit-eigene Frontends oder Clients, die die rohe Low-Level-API nutzen, können beim Auschecken von Git-Quellen git.checkoutbundle=true setzen. Ist die Git-Quelle bösartig, kann dies zu einer manipulierten Befehlsausführung führen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

lakeFS, ein Open-Source-Tool, das Objektspeicher in Git-artige Repositories verwandelt, weist vor Version 1.81.1 der Open-Source-Edition beziehungsweise 1.84.0 der Enterprise-Edition eine Schwachstelle beim Rendering der Web-UI auf. CVSS-Basiswert: 8.7 (Hoch). Die Schwachstelle ist laut NVD nicht als aktiv ausgenutzt (KEV) gelistet. Eine EPSS-Bewertung liegt in den Quelldaten nicht vor. Empfohlene Massnahme: Update auf Version 1.81.1 (Open Source) beziehungsweise 1.84.0 (Enterprise) oder neuer.

In n8n vor den Versionen 1.123.64, 2.29.8 und 2.30.1 besteht in der Clone-Operation der Git-Node eine TOCTOU-Race-Condition. Authentifizierte Benutzer können damit Pfadbeschränkungen umgehen, indem sie ein Verzeichnis gegen einen Symlink austauschen. CVSS-Basiswert: 7.5 (Hoch). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf n8n 1.123.64, 2.29.8 bzw. 2.30.1 oder neuer aktualisieren.

GitPython vor Version 3.1.50 prüft Zeilenumbruchzeichen im section-Parameter von config_writer() nicht ausreichend. Dadurch können Angreifer beliebige Section-Header in die Datei .git/config einschleusen. CVSS-Basiswert: 7.0 (Hoch).

GitPython vor Version 3.1.53 escaped Abschnittsnamen in Git-Konfigurationsdateien nicht korrekt. Angreifer können dadurch über bösartig gestaltete Submodul-Namen beliebige Konfigurationsdirektiven in die Git-Konfiguration einschleusen. CVSS-Basiswert: 7 (Hoch).

Git for Windows ermöglicht vor Version 2.53.0(2), dass ein Nutzer beim Klonen von einem bösartigen Server dazu gebracht wird, seinen NTLM-Hash preiszugeben. Da NTLM-Hashing schwach ist, kann ein Angreifer damit Kontoname und Passwort des Nutzers per Brute-Force ermitteln. Das Problem ist in Version 2.53.0(2) behoben. CVSS-Basiswert: 7.4 (Hoch). Empfohlene Massnahme: Auf Version 2.53.0(2) oder neuer aktualisieren.

git-commiters ist ein Node.js-Modul, das Committer-Statistiken für ein Git-Repository liefert. Vor Version 0.1.2 besteht eine Command-Injection-Schwachstelle: Die exportierte API gitCommiters(options, callback) bereinigt Benutzereingaben wie cwd oder revisionRange nicht und fügt sie ungeprüft in die Befehlsausführung ein. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: Aktualisierung auf Version 0.1.2.

Das Jenkins Git Parameter Plugin 439.vb_0e46ca_14534 und älter prüft nicht, ob der beim Build übergebene Git-Parameterwert einer der angebotenen Auswahlmöglichkeiten entspricht. Angreifer mit der Berechtigung Item/Build können dadurch beliebige Werte in Git-Parameter einschleusen. CVSS-Basiswert: 8.2 (Hoch). Empfohlene Massnahme: das Plugin auf eine korrigierte Version aktualisieren.

git-annex speichert bei aktivierter Option embedcreds=yes in Kombination mit encryption=pubkey oder encryption=hybrid die eingebetteten AWS-Zugangsdaten effektiv im Klartext im Git-Repository, obwohl diese verschlüsselt sein sollten. Betroffen sind die S3- und Glacier-Remotes von git-annex-Versionen ab 3.20121126 bis vor 5.20140919. CVSS-Basiswert: 7.5 (Hoch).

In parse-git-config Version 3.0.0 kann laut NVD ein Angreifer über die expandKeys-Funktion an sensible Informationen gelangen. CVSS-Basiswert: 7.5 (Hoch).

Beim Klonen, Abrufen oder Pushen überträgt Git Informations- und Fehlermeldungen vom entfernten Git-Prozess über den sogenannten Sideband-Kanal zum Client und gibt sie direkt auf der Standardfehlerausgabe aus. Da Git diese Ausgabe nicht gegen ANSI-Escape-Sequenzen absichert, kann ein Angreifer mit modernen Terminals Informationen verbergen oder verfälschen und Benutzer zur Ausführung nicht vertrauenswürdiger Skripte verleiten. CVSS-Basiswert: 8.8 (Hoch). Empfohlene Massnahme: so bald wie möglich aktualisieren; wer nicht aktualisieren kann, sollte rekursive Klone nur aus vertrauenswürdigen Quellen durchführen.

Git nutzt für den Austausch mit Credential-Helpern ein zeilenbasiertes Protokoll. Laut NVD interpretieren manche Ökosysteme (insbesondere .NET und Node.js) einzelne Carriage-Return-Zeichen als Zeilenumbruch, wodurch der Schutz gegen CVE-2020-5260 für so agierende Credential-Helper unvollständig bleibt. CVSS-Basiswert: 7.5 (Hoch). Der Fehler wurde in Commit b01b9b8 behoben, enthalten in den Versionen v2.48.1, v2.47.2, v2.46.3, v2.45.3, v2.44.3, v2.43.6, v2.42.4, v2.41.3 und v2.40.4. Empfohlene Massnahme: auf eine der genannten Versionen aktualisieren; wer nicht aktualisieren kann, sollte auf Clones aus nicht vertrauenswürdigen URLs, insbesondere rekursive Clones, verzichten.

go-git ist eine in Go geschriebene, hochgradig erweiterbare Git-Implementierungsbibliothek. In Versionen vor v5.13 können speziell präparierte Antworten eines Git-Servers eine Ressourcenerschöpfung bei go-git-Clients auslösen und so einen Denial-of-Service verursachen; betroffen sind Nutzer ab go-git v4. CVSS-Basiswert: 7.5 (Hoch). Empfohlene Massnahme: Upgrade auf go-git v5.13 oder neuer. Ein EPSS-Wert liegt in den Quelldaten nicht vor, eine aktive Ausnutzung über CISA KEV ist nicht bekannt.

Git ist ein System zur Versionsverwaltung. In Versionen vor 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 und 2.39.4 kann ein Angreifer ein lokales Repository so präparieren, dass beim Klonen beliebiger Code ausgeführt wird. CVSS-Basiswert: 8.1 (Hoch). Empfohlene Massnahme: Aktualisierung auf eine der Versionen 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 oder 2.39.4; als Behelf keine Repositories aus nicht vertrauenswürdigen Quellen klonen.

Git schützt beim Klonen lokaler Repositories aus nicht vertrauenswürdigen Quellen normalerweise vor der Ausführung von Hooks, wie in CVE-2024-32004 behandelt. Diese Schutzmassnahmen greifen jedoch nicht in allen Fällen: Wird beispielsweise eine ZIP-Datei mit einer vollständigen Kopie eines Repositories aus einer nicht vertrauenswürdigen Quelle bezogen, sollte diese nicht standardmässig als sicher gelten, da darin konfigurierte Hooks im Kontext dieses Repositories ausgeführt werden können. Empfohlene Massnahme: Update auf Version 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2 oder 2.39.4; als Workaround sollte Git nicht in Repositories verwendet werden, die aus Archiven nicht vertrauenswürdiger Quellen stammen. CVSS-Basiswert: 7.3 (Hoch).

In go-git-Versionen vor 5.11 wurde eine Denial-of-Service-Schwachstelle entdeckt. Ein Angreifer kann durch speziell präparierte Antworten eines Git-Servers eine Ressourcenerschöpfung bei go-git-Clients auslösen. Anwendungen, die ausschliesslich das In-Memory-Dateisystem von go-git nutzen, sind nicht betroffen; das eigentliche Git-CLI ist von diesem go-git-spezifischen Implementierungsfehler ebenfalls nicht betroffen. CVSS-Basiswert: 7.5 (Hoch). Eine aktive Ausnutzung über CISA KEV oder ein Ransomware-Bezug ist nicht bekannt.

Die Bibliothek git-urls ermöglicht in Version 1.0.0 einen Denial-of-Service-Angriff durch eine Regular-Expression-Denial-of-Service- Lücke (ReDoS) in urls.go. Ein Angreifer kann durch speziell konstruierte Eingaben die reguläre Ausdrucksverarbeitung übermässig verlangsamen und so die Verfügbarkeit beeinträchtigen. CVSS-Basiswert: 7.5 (Hoch).

Für Git wurde eine Sicherheitslücke (CVE-2020-27955) gemeldet; Atlassian führt die betroffene Komponente in seinem Security-Advisory. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 82.7 %.

Für den Git-Server wurde eine Sicherheitslücke (CVE-2017-1000117) gemeldet; Synology führt sie im Advisory Synology-SA-17:41 (Git Server). Ausnutzungswahrscheinlichkeit (EPSS): 75.8 %.

Für Atlassian-Produkte (Jira/Confluence/Bitbucket) wurde eine Sicherheitslücke (CVE-2018-11235) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 74.0 %.

In der ABB Arctic communication solution ARM600 wurden im Zusammenhang mit CVE-2022-23521 Sicherheitslücken gemeldet; auch Atlassian-Produkte und das Git-Projekt sind betroffen. Ausnutzungswahrscheinlichkeit (EPSS): 56.3 %. 2 Produkt(e) betroffen, 0 mit Fix.

Für ABB Arctic Communication Solution ARM600 wurde eine Sicherheitslücke gemeldet. Die Lücke betrifft ursprünglich das Git Project und wird auch von Fedora in den Sicherheitshinweisen geführt. 2 Produkt(e) betroffen, 0 mit Fix. Ausnutzungswahrscheinlichkeit (EPSS): 51.9 %.

Im ABB Arctic Communication Solution ARM600 wurden Sicherheitslücken gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 44.3 %. Laut ABB PSIRT sind 2 Produkt(e) betroffen, 0 mit Fix.

Für Atlassian-Produkte (Jira/Confluence/Bitbucket) sowie Git wurde eine Sicherheitslücke (CVE-2020-5260) gemeldet. Ausnutzungswahrscheinlichkeit (EPSS): 10.0 %.

In umijs umi bis Version 4.6.63 ist die Funktion git.getFileCreateInfo der Datei packages/utils/src/getFileGitIno.ts in der Komponente GIT File Helper betroffen. Die Schwachstelle lässt sich über das Netzwerk ausnutzen und kann Vertraulichkeit, Integrität und Verfügbarkeit geringfügig beeinträchtigen. CVSS-Basiswert: 5.5 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 1.7 %.

HashBrown CMS ist bis einschliesslich Version 1.4.6 laut NVD anfällig für OS Command Injection (CWE-78) in der Git-Deployer-Komponente. Betroffen ist die Funktion GitDeployer.pullRepo() in src/Server/Entity/Deployer/GitDeployer.js, die darüber einen Systemaufruf ausführt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.