Git Seite 2

In danger-js bis Version 13.0.7 ist die Funktion danger.git.diffForFile in der Datei source/platforms/git/localGetFileAtSHA.ts der CLI-Komponente betroffen; eine Manipulation ist möglich. CVSS-Basiswert: 5.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf eine korrigierte danger-js-Version aktualisieren, sobald verfügbar.

Im Git-Service, der von Altium Enterprise Server und Altium 365 gemeinsam genutzt wird, besteht eine Path-Traversal-Schwachstelle. Der Dienst akzeptiert eine Folge von Datei-Manipulationsoperationen nach dem Klonen (post-clone), die für einen unzulässigen Verzeichniswechsel missbraucht werden können. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. Ab Version 0.24.0 und vor Version 1.2.5 verarbeitet der ProcessMergeDriver von Dulwich den Dateipfad auf unsichere Weise, was ein Sicherheitsrisiko darstellt. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %. Empfohlene Massnahme: auf Dulwich 1.2.5 oder neuer aktualisieren.

Der Befehl „s init“ in Serverless-Devs @serverless-devs/s in Version 3.1.11 und früher übergibt laut NVD nicht bereinigte Nutzereingaben ungeprüft an child_process.spawn() mit der Option shell: true. Eine URL, die auf „.git“ endet, umgeht dabei die einzige vorhandene Eingabeprüfung; die Quellbeschreibung bricht an dieser Stelle ab. Ein CVSS-Basiswert liegt in den Quelldaten nicht vor.

dbt ermöglicht Datenanalysten und -ingenieuren, Daten mit denselben Praktiken zu transformieren, die Softwareentwickler zum Erstellen von Anwendungen nutzen. Betroffen ist der wiederverwendbare Workflow dbt-labs/actions. CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.4 %.

Statamic ist ein auf Laravel und Git basierendes Content-Management-System. In Versionen vor 5.73.24 und 6.20.1 werden Formularwerte in src/Forms/Exporters/CsvExporter.php beim Export nicht gegen Tabellenkalkulations-Formeln neutralisiert (CSV Formula Injection). CVSS-Basiswert: 6.1 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: auf Version 5.73.24 bzw. 6.20.1 oder neuer aktualisieren.

Logseq stellt einen IPC-Handler bereit, über den der Renderer-Prozess Shell-Befehle ausführen kann. Eine Positivliste beschränkt zwar den Befehlsnamen (z. B. git, pandoc, grep), doch die Argumentzeichenkette wird zusammengesetzt (konkateniert). CVSS-Basiswert liegt nicht in den Quelldaten vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %.

In der Komponente org.apache.sshd:sshd-git der Java-Bibliothek Apache MINA SSHD besteht eine unzureichende Eingabevalidierung. Apache MINA SSHD stellt client- und serverseitige SSH-Funktionalität für Java bereit; die betroffene Komponente liefert über GitPgmCommand Git-Kommando-Funktionalität. CVSS- Basiswert: 5.4 (Mittel). Empfohlene Massnahme: auf eine fehlerbereinigte Version der Bibliothek aktualisieren.

Statamic ist ein auf Laravel und Git basierendes Content-Management-System. In Versionen vor 5.73.24 und 6.20.1 weist laut NVD die URL-Validierung des Glide-Image-Proxys in src/Imaging/RemoteUrlValidator.php und dem zugehörigen Guzzle-Adapter eine Schwachstelle auf. Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten und hoher Angriffskomplexität ausnutzbar und wirkt sich über eine Vertrauensgrenze hinweg (Scope Changed) begrenzt auf Vertraulichkeit und Integrität aus. CVSS-Basiswert: 4.9 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: Update auf Statamic 5.73.24 bzw. 6.20.1 oder neuer einspielen.

Im Jenkins Git Parameter Plugin 462.vdcf3df2ed2ca_ und früher fehlt eine Berechtigungsprüfung. Angreifer mit Item/Read-Berechtigung können dadurch Informationen über das von einem Job genutzte SCM-Repository erlangen. CVSS-Basiswert: 4.3 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: das Git Parameter Plugin auf eine fehlerbereinigte Version aktualisieren.

Das Jenkins Git client Plugin 6.6.0 und früher maskiert den Namen des Workspace-Verzeichnisses nicht korrekt, wenn er in ein generiertes SSH-Wrapper-Skript eingebettet wird. Angreifer, die den Namen kontrollieren können, können dies ausnutzen. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. In den Versionen ab 0.1.0 und vor 1.2.5 könnte ein Client mit Push-Zugriff ein kleines, speziell gestaltetes Thin Pack übertragen. CVSS-Basiswert: 5.7 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %.

Im Linux-Kernel wurde eine Schwachstelle im Bridge-Subsystem behoben. brport_store() hielt beim Zugriff über sysfs den Bridge-Lock, was zu einem Sleep in atomic context führen konnte. Der Fix korrigiert die Sperrbehandlung auf dem sysfs-Pfad. Ubuntu hat dazu Kernel-Sicherheitsupdates veröffentlicht (USN-8593-1 sowie USN-8603-1 für Azure-Kernel). Ein CVSS-Basiswert liegt in den Quelldaten nicht vor. Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: die von Ubuntu bereitgestellten Kernel-Updates einspielen.

go-git ist eine erweiterbare, in reinem Go geschriebene Git-Implementierungsbibliothek. In den Versionen ab 5.0.0 bis vor 5.17.1 wurde eine Schwachstelle festgestellt, bei der eine bösartig präparierte .idx-Datei einen Fehlerzustand auslösen kann. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

Hermes WebUI vor Version 0.51.303 enthält eine Time-of-Check-Time-of-Use-Race-Condition (TOCTOU) in der Funktion git_discard innerhalb von api/workspace_git.py, über die Angreifer Löschvorgänge auslösen können. CVSS-Basiswert: 5.0 (Mittel). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.

In Quarkus können unter bestimmten Bedingungen im CI-Prozess Git-Credentials unbeabsichtigt offengelegt werden, wodurch das Git-Repository gefährdet wird. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.6 %.

Statamic ist ein auf Laravel und Git basierendes Content-Management-System (CMS). Vor den Versionen 5.74.0 und 6.20.3 besteht eine Schwachstelle im Live-Preview-Endpunkt für bestehende Einträge und Begriffe im PreviewController (src/Http/Controllers/CP/PreviewController). Laut CVSS-Vektor ist die Lücke über das Netzwerk mit niedrigen Rechten und unter Nutzerinteraktion ausnutzbar und beeinträchtigt die Integrität in geringem Umfang. CVSS-Basiswert: 3.5 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.3 %. Empfohlene Massnahme: Aktualisierung auf Statamic 5.74.0 bzw. 6.20.3.

go-git ist eine in reinem Go geschriebene, erweiterbare Git-Implementierung. Vor Version 5.17.1 prüft der Index-Decoder für Formatversion 4 die Länge des Pfadnamen-Präfixes nicht, bevor sie angewendet wird. CVSS-Basiswert: 2.8 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.2 %. Empfohlene Massnahme: auf go-git 5.17.1 aktualisieren.

Dulwich ist eine reine Python-Implementierung der Git-Dateiformate und -Protokolle. Ab Version 0.24.0 und vor Version 1.2.5 leitet dulwich.porcelain.format_patch mit dem Parameter outdir jede Patch-Datei aus nicht vertrauenswürdigen Werten ab. CVSS-Basiswert: 3.3 (Niedrig). Ausnutzungswahrscheinlichkeit (EPSS): 0.1 %.