Esta entrada presenta una evaluación de las vulnerabilidades identificadas en la biblioteca GitPython. Estas fallas podrían permitir a un actor malicioso ejecutar comandos arbitrarios del sistema durante la ejecución de operaciones de Git a través de código Python.
Productos afectados
- GitPython (librería para Python): versiones anteriores a la 3.1.54.
Impacto
Las vulnerabilidades se han identificado como:
- CVE-2026-73625: con una puntuación de 8.8 en CVSS v3.1. Existe una vulnerabilidad de Inyección de Comandos en la libreira GitPython. Un actor malicioso podría ejecutar comandos arbitrarios en el sistema operativo subyacente mediante el envío de diccionarios de opciones personalizadas e insanitizadas hacia métodos como clone_from, fetch, pull, push, ls_remote, iter_commits, blame o archive.
- CVE-2026-73623: con una puntuación de 7.7 en CVSS v3.1. Existe una vulnerabilidad de Ejecución de Comandos que se manifiesta durante las operaciones de clonado de repositorios no confiables en versiones de GitPython.
Recomendación
- Se recomienda actualizar a la última versión disponible de GitPython para mitigar estas vulnerabilidades.
Referencias
- https://nvd.nist.gov/vuln/detail/CVE-2026-73623
- https://nvd.nist.gov/vuln/detail/CVE-2026-73625
- https://github.com/gitpython-developers/GitPython/security/advisories