GitPython 子模块路径校验滞后可致 RCE，PoC 公开

GitHub 安全公告 GHSA-83vg-56qc-22m7 称，GitPython 的 create_submodule 在拒绝 .git 路径之前，就已把子模块克隆进仓库的 .git 目录，攻击者可借此植入钩子并实现远程代码执行；公告同时公开了 PoC 与复现细节。 公告列出的利用条件有两项：应用把攻击者影响的子模块 path 传入 create_submodule；目标钩子名在 .git/hooks 中未被占用，这在精简、CI、容器检出以及 init.templateDir 或 GIT_TEMPLATE_DIR 为空时成立。若默认示例钩子存在，git clone 会因目标非空而拒绝，植入不会发生。 公告称，实测受影响的版本从 3.1.x（3.1.59）到当前最新提交 bda18e08（3.2.0 加 3 个提交）；在该提交上，create_submodule 虽抛出 ValueError，.git/hooks/post-checkout 仍被写入并可执行，git checkout 会运行它。

AI 根据报道生成 · 5 小时前更新