GitHub 安全公告库 (GHSA)·2026-10-23 00:41· 7 小时前精选AI 评分58

GitPython 子模块 .git 路径校验滞后导致 RCE，PoC 已公开

GitPython validates a submodule's ".git" path only after cloning into it (RCE)

AI 导读

GitHub 安全公告 GHSA-83vg-56qc-22m7 指出 GitPython 的 create_submodule 在拒绝 .git 路径之前就已把子模块克隆进仓库的 .git 目录。

为什么值得看

公告给出了可复现的 PoC 与逐行调用栈，说明校验发生在克隆落盘之后，可据此判断自身调用路径是否受影响。