Blog 24/7
ARK. 1 · 1 min czytaniaPodatności ·

Git 2.56.1 łata lukę CVE-2026-111760, przez którą złośliwe repozytorium uruchamia kod

Luka CVE-2026-111760 w Git pozwala złośliwemu repozytorium uruchomić kod na komputerze, który klonuje je rekurencyjnie z podmodułami. Poprawka jest w Git 2.56.1 i wydaniach od 2.50.2.

Karta wpisu: Git 2.56.1 łata lukę CVE-2026-111760, przez którą złośliwe repozytorium uruchamia kod

Git 2.56.1 usuwa lukę CVE-2026-111760, przez którą złośliwe repozytorium może uruchomić kod napastnika na komputerze, który klonuje je rekurencyjnie razem z podmodułami. Błąd to obcięcie liczby całkowitej przy obsłudze indeksu: bardzo długa ścieżka przechodzi kontrolę bezpieczeństwa, ale na dysk trafia pod krótszą nazwą, którą napastnik może ustawić na .git. Pozwala to podmienić plik .git podmodułu na dowiązanie symboliczne do katalogu ze złośliwymi hookami, czyli programami, które Git uruchamia sam w określonych momentach.

Kogo dotyczy

Każdego, kto klonuje repozytoria rekurencyjnie, z podmodułami, w wersjach Git sprzed poprawek. GitHub załatał już github.com i GitHub Enterprise Cloud. Git for Windows we wtorek wieczorem nie miał jeszcze wydania opartego na 2.56.1, a poprawione GitHub Desktop i aplikacja GitHub Copilot są w przygotowaniu.

Co zrobić

Zainstalować Git 2.56.1 albo 2.50.2, 2.51.3, 2.52.1, 2.53.1, 2.54.1 lub 2.55.1 z systemu operacyjnego lub od dystrybutora Gita i zaktualizować aplikacje z własną kopią Gita. GitHub Enterprise Server ma poprawkę w wersjach 3.19.15, 3.20.11, 3.21.9 i 3.22.4.

TAB. 2

Źródła

1
The Hacker News — Git Patches Flaw That Lets Malicious Repositories Execute Code During Recursive Clonesthehackernews.com
TAB. 3

Powiązane

3
13.11.2026PodatnościAtaki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNP
13.11.2026PodatnościPostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerze
13.11.2026PodatnościRed Hat Quay: luka CVE-2026-123710 pozwala czytać i podmieniać prywatne obrazy kontenerów

Wszystkie wpisy →

Blog 24/7
14.11Osaka: atak na serwis Arara ujawnił ponad milion adresów e-mail mieszkańcówtherecord.media14.11ArcticRAT przejmuje telefony z Androidem i przez AI szuka danych finansowych w SMS-achdarkreading.com14.11Zespół Białego Domu ds. AI chce ulg dla firm po cyberatakach z użyciem AIcybersecuritydive.com14.11Platformy AI automatyzują ataki, Talos widzi w sieci ponad 700 instancji PentAGIblog.talosintelligence.com14.11FBI ostrzega przed Artex, platformą AI, która automatyzuje włamaniatherecord.media13.11Ataki Mior i Skyfall odczytują pamięć maszyn wirtualnych chronionych AMD SEV-SNPthehackernews.com13.11Gootloader otworzył drogę do 44 ataków ransomware, straty 28,8 mln dolarówtherecord.media13.11PostgreSQL łata 52 luki, w tym CVE-2026-6460 pozwalającą wykonać kod na serwerzethehackernews.com13.11Autopay potwierdza cyberatak i nieautoryzowany dostęp do części danych płatnościsekurak.pl13.11University of Texas at Arlington potwierdza kradzież danych po ataku gangu Qilintherecord.media