PT-2026-44725 · Pypi · Dulwich

CVE-2026-42563

·

Publicado

2026-05-28

·

Atualizado

2026-07-13

CVSS v4.0

7.7

Alta

VetorAV:N/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Nome do Software Vulnerável e Versões Afetadas Dulwich versões anteriores a 1.2.5-1.1
Description Ocorre uma injeção de comando no ProcessMergeDriver quando o caminho do arquivo da árvore git é substituído no comando do driver de merge através do marcador %P. Esse comando é então executado usando subprocess.run(..., shell=True). Um invasor pode alcançar a execução arbitrária de comandos criando caminhos de arquivos maliciosos e induzindo a vítima a realizar o merge de um branch não confiável, desde que o usuário tenha um driver de merge configurado que utilize o marcador %P.
Recommendations Atualize para a versão 1.2.5-1.1.

Exploit

Correção

OS Command Injection

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2026-42563
ECHO-B3A3-3B48-F3FE
GHSA-9277-MP7X-85JF
OPENSUSE-SU-2026:10900-1
PYSEC-2026-2464

Produtos afetados

Dulwich