Към съдържанието
Търсене

CVE-2026-82247: GitoxideLabs gitoxide, заобикаляне на вход и права

8.7

CVSS 4.0

Няма данни

Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)

Няма потвърждение

Атакува се

Няма данни

Време до експлоатация

Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.

CVE радар: още уязвимости от този вид

  • Експлоатация: има публичен пример за експлоатация
  • Атаката може да се автоматизира

Описание

Оригинално описание

gitoxide's gix-url crate (<= 0.32.0, fixed in 0.37.1) uses a hand-rolled URL parser that does not treat '?' or '#' as terminating the authority component, contrary to RFC 3986. As a consequence, gix-transport's HTTP redirect identity guard (can_reuse_identity) compares the wrong host and fails open. An attacker controlling a redirect response can craft a Location header of the form <attacker-authority>?@<original-authority> so that gitoxide sends the caller's HTTP Basic Authorization credentials to an unintended host. gix-transport is affected in versions <= 0.49.0 (fixed in 0.58.1).

Засегнати продукти

  • GitoxideLabs gitoxide: преди 0.37.1; 0.37.1
  • GitoxideLabs gitoxide: преди 0.58.1; 0.58.1

Вид слабост

История

  • 28 август 2026 Публикувано

Други уязвимости в GitoxideLabs gitoxide

Първоизточници

CVE-2026-82247: GitoxideLabs gitoxide, заобикаляне на вход и права | freedomonline.bg