Poważna luka symlinków w isomorphic-git umożliwia zapis plików poza katalogiem

9 listopada 2026 roku GitHub Security Advisories oraz projekt isomorphic-git opublikowały zgłoszenie bezpieczeństwa o wysokiej istotności, dotyczące podatności w isomorphic-git, implementacji git w JavaScript wykorzystywanej w wielu narzędziach deweloperskich, potokach CI oraz klientach git na komputery stacjonarne i Electron. Zgłoszenie opisuje błąd typu path traversal, który pozwala, aby operacje checkout zapisywały pliki poza zamierzonym katalogiem roboczym za pomocą dowiązania symbolicznego do katalogu, podstawionego przez złośliwe repozytorium, opisane w zgłoszeniu bezpieczeństwa isomorphic-git GHSA-9qw7-j9xw-fv9c.

Najważniejsze szczegóły luki

• Oznaczona jako CVE-2026-63395, zgłoszenie bezpieczeństwa GitHub GHSA-9qw7-j9xw-fv9c, z wynikiem CVSS 3.1 równym 8.8 (wysoka istotność)
• Zaklasyfikowana jako CWE-22 (path traversal) i CWE-59 (nieprawidłowe rozwiązywanie dowiązań)
• git.checkout zapisuje pliki katalogu roboczego poprzez dowiązanie symboliczne do katalogu bez walidacji początkowej ścieżki
• Złośliwe repozytorium może podstawić dowiązanie symboliczne w jednym commicie, a następnie zapisać dane poza katalogiem roboczym, na przykład do ~/.ssh lub do własnego .git repozytorium, w drugim commicie
• Błąd znajduje się w logice checkout samego isomorphic-git i nie zależy od użytego backendu systemu plików
• Wszystkie wersje do 1.38.5 włącznie są podatne; poprawka trafiła do wersji 1.38.6

Co to znaczy dla osób budujących z AI

isomorphic-git jest powszechnie wykorzystywany w serwerach Node.js, automatyzacji CI, narzędziach CLI oraz klientach git na komputery stacjonarne i Electron, w tym w niektórych środowiskach piaskownicy agentów kodujących, które pobierają dowolne repozytoria. Każde z tych narzędzi pozostawione na niezaktualizowanej wersji jest narażone na zapis plików poza katalogiem roboczym, a potencjalnie na zdalne wykonanie kodu, wyłącznie poprzez sklonowanie lub checkout spreparowanego repozytorium.

Co zrobić teraz

Zespoły, które wykorzystują isomorphic-git, bezpośrednio lub poprzez zależność, powinny zaktualizować do wersji 1.38.6, gdzie poprawka działa niezależnie od backendu systemu plików używanego w integracji. Zgłoszenie zostało opublikowane 9 listopada 2026 roku, o 19:53 UTC.

Źródła

• isomorphic-git: arbitrary file write via directory symlink (CVE-2026-63395) (GitHub Security Advisories / isomorphic-git, 9 listopada 2026, oficjalne)

Tekst przygotowany z pomocą AI wyłącznie na podstawie źródeł wymienionych powyżej. Zanim trafił na stronę, przeszedł automatyczną kontrolę dat, źródeł i wszystkich wersji językowych.