Description
GitPython before 3.1.51 fails to guard against dangerous Git options passed as keyword arguments in Repo.archive() and git.ls_remote(), allowing command injection via options such as --exec/--upload-pack (leading to arbitrary command execution). Additionally, Repo.iter_commits() and Repo.blame() do not check for leading-dash revision arguments, so a revision like --output= can cause Git to open and truncate an arbitrary file. Exploitation requires an application that passes attacker-controlled arguments to these methods.
Mitigation
Minimal update. May introduce new vulnerabilities or breaking changes.
|
 debian 13 | | =3.1.44-1 || =3.1.45-1 || =3.1.46-1 || =3.1.50-1 | - |
debian 14 | | =3.1.44-1 || =3.1.45-1 || =3.1.46-1 || =3.1.50-1 | - |
 pypi | | =0.1.7 || =0.2.0-beta1 || =0.3.0-beta1 || =0.3.0-beta2 || =0.3.1-beta2 || =0.3.2 || =0.3.2.1 || =0.3.2.rc1 || =0.3.3 || =0.3.4 || =0.3.5 || =0.3.6 || =0.3.7 || =1.0.0 || =1.0.1 || =1.0.2 || =2.0.0 || =2.0.1 || =2.0.2 || =2.0.3 || =2.0.4 || =2.0.5 || =2.0.6 || =2.0.7 || =2.0.8 || =2.0.9 || =2.0.9.dev0 || =2.0.9.dev1 || =2.1.0 || =2.1.1 || =2.1.10 || =2.1.11 || =2.1.12 || =2.1.13 || =2.1.14 || =2.1.15 || =2.1.2 || =2.1.3 || =2.1.4 || =2.1.5 || =2.1.6 || =2.1.7 || =2.1.8 || =2.1.9 || =3.0.0 || =3.0.1 || =3.0.2 || =3.0.3 || =3.0.4 || =3.0.5 || =3.0.6 || =3.0.7 || =3.0.8 || =3.0.9 || =3.1.0 || =3.1.1 || =3.1.10 || =3.1.11 || =3.1.12 || =3.1.13 || =3.1.14 || =3.1.15 || =3.1.16 || =3.1.17 || =3.1.18 || =3.1.19 || =3.1.2 || =3.1.20 || =3.1.22 || =3.1.23 || =3.1.24 || =3.1.25 || =3.1.26 || =3.1.27 || =3.1.28 || =3.1.29 || =3.1.3 || =3.1.30 || =3.1.31 || =3.1.32 || =3.1.33 || =3.1.34 || =3.1.35 || =3.1.36 || =3.1.37 || =3.1.38 || =3.1.4 || =3.1.40 || =3.1.41 || =3.1.42 || =3.1.43 || =3.1.44 || =3.1.45 || =3.1.46 || =3.1.47 || =3.1.48 || =3.1.49 || =3.1.5 || =3.1.50 || =3.1.6 || =3.1.7 || =3.1.8 || =3.1.9 || >=0 <3.1.51 | 3.1.51 |
debian 12 | | =3.1.30-1 || =3.1.30-1+deb12u2 || =3.1.36-1 || =3.1.37-1 || =3.1.37-2 || =3.1.37-3 || =3.1.44-1 || =3.1.45-1 || =3.1.46-1 || =3.1.50-1 | - |
debian 11 | | =3.1.14-1 || =3.1.14-1+deb11u1 || =3.1.23-1 || =3.1.24-1 || =3.1.27-1 || =3.1.30-1 || =3.1.36-1 || =3.1.37-1 || =3.1.37-2 || =3.1.37-3 || =3.1.44-1 || =3.1.45-1 || =3.1.46-1 || =3.1.50-1 | - |
