Dulwich: Arbitrary File Write (RCE) on Windows via Unvalidated Drive Letters in Tree Paths — GHSA-8MCX-5RQC-VHMF

GitHub · GitHub · GHSA-8MCX-5RQC-VHMF

ID
GHSA-8MCX-5RQC-VHMF

Datum
2026-10-02

Quelle
GitHub

Vendor
GitHub

Risiko
hoch

CVSS
8.8

Zusammenfassung

### Affected files * `dulwich/index.py` (Methods: `validate_path_element_ntfs`, `_tree_to_fs_path`) * `dulwich/porcelain/__init__.py` (Method: `_checked_worktree_path`) ### Description / Summary A High-severity Path Traversal vulnerability exists in Dulwich's checkout logic when running on Windows. The functions responsible for validating NTFS paths strictly reject `.git` variants, Alternate Data Streams (ADS),…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: hoch.
Gemeldeter CVSS-Wert: 8.8 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: pip: dulwich.

Produkt

pip: dulwich

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Zur offiziellen Quelle

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-8MCX-5RQC-VHMF
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-02
Letzte Quellenaktivität: 2026-10-02
Kuratiert von: hlukh.ch