GitPython corrige dos rutas de inyección de comandos en operaciones Git
GitPython corrige dos rutas de inyección de comandos en operaciones Git
GitPython 3.1.51 cierra dos fallas que permiten ejecutar comandos cuando una aplicación pasa opciones o revisiones controladas por un atacante. Los vectores afectan clonación, archivos, consultas remotas, historiales y blame.
Opciones peligrosas sin filtrar
CVE-2026-67323 afecta a GitPython anterior a 3.1.51. Varias API no bloqueaban opciones peligrosas aportadas como argumentos: Repo.archive() y git.ls_remote() podían aceptar --exec o --upload-pack y ejecutar comandos arbitrarios.
Repo.iter_commits() y Repo.blame() tampoco rechazaban revisiones que comenzaran con guion. Un valor como --output=<ruta> podía hacer que Git abriera y truncara un archivo elegido por el atacante.
Bypass de la protección en clone_from
CVE-2026-67324 afecta específicamente a GitPython 3.1.50. El filtro de opciones inseguras no reconocía la forma corta unida -u<valor>, equivalente a --upload-pack=<valor>, aunque allow_unsafe_options estuviera desactivado.
Una aplicación que coloque opciones controladas por terceros en Repo.clone_from(..., multi_options=...) puede provocar que Git ejecute el programa indicado como helper. La explotación depende de que la aplicación exponga esos parámetros a entradas no confiables.
- CVE-2026-67323 recibió CVSS 4.0 de 8,6.
- CVE-2026-67324 recibió CVSS 4.0 de 9,3.
- Ambas vulnerabilidades están corregidas en GitPython 3.1.51.
Acciones para desarrolladores
- Actualizar la dependencia GitPython a 3.1.51 o posterior.
- No pasar opciones, revisiones ni nombres de repositorio sin una lista permitida estricta.
- Revisar servicios de automatización, CI/CD y análisis de repositorios que acepten parámetros externos.
- Tratar las protecciones allow_unsafe_options como defensa adicional, no como sustituto de validación propia.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1
- 2
- 3NVD — CVE-2026-67323 ↗oficial
- 4NVD — CVE-2026-67324 ↗oficial
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista