p PatchFirst

CVE-2026-42563

CVE-2026-42563 · Dulwich Vulnerable to Command Injection via Merge Driver Path

Здесь приведены факты из открытых источников об уязвимостях. Перед обновлением ознакомьтесь с исходным сообщением.

Dulwich is a pure-Python implementation of the Git file formats and protocols. Starting in version 0.24.0 and prior to version 1.2.5, Dulwich's `ProcessMergeDriver` substitutes the file path (from the git tree, controllable by an attacker via a malicious branch) into the merge driver command via the `%P` placeholder and executes it with `subprocess.run(..., shell=True)`. An attacker who can cause a victim to merge an untrusted branch can achieve arbitrary command execution by crafting malicious file paths. Version 1.2.5 fixes the issue.

CVSS 7.7 · Высокий · EPSS 0,6% · Есть исправление

Опубликовано
Обновлено

Стек: system · python

Затронутые продукты и версии

  • dulwich

    Версии
    • >= 0.24.0, < 1.2.5: Затронуто

    Нет опубликованного исправления

  • dulwich Debian:12

    Версии
    • 0.21.2-1
    • 0.21.5-1
    • 0.21.6-1
    • 0.22.5-1
    • 0.22.7-1
    • 0.22.7-2
    • 0.24.10-1
    • 0.24.2-1
    • 0.24.2-2
    • 1.0.0-1
    • 1.0.0-2
    • 1.1.0-1
    • 1.1.0-2
    • 1.1.0-3
    • 1.2.0-1
    • 1.2.1-1
    • 1.2.11-1
    • 1.2.12-1
    • 1.2.5-1
    • 1.2.7-1
    • 1.2.7-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Debian:13

    Версии
    • 0.22.7-1
    • 0.22.7-2
    • 0.24.10-1
    • 0.24.2-1
    • 0.24.2-2
    • 1.0.0-1
    • 1.0.0-2
    • 1.1.0-1
    • 1.1.0-2
    • 1.1.0-3
    • 1.2.0-1
    • 1.2.1-1
    • 1.2.11-1
    • 1.2.12-1
    • 1.2.5-1
    • 1.2.7-1
    • 1.2.7-2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Debian:14

    Версии
    • 0.22.7-1
    • 0.22.7-2
    • 0.24.10-1
    • 0.24.2-1
    • 0.24.2-2
    • 1.0.0-1
    • 1.0.0-2
    • 1.1.0-1
    • 1.1.0-2
    • 1.1.0-3
    • 1.2.0-1
    • 1.2.1-1
    Затронутые диапазоны версий
    • ECOSYSTEM: < 1.2.5-1

    Обновитесь до 1.2.5-1

  • dulwich PyPI

    Версии
    • 0.24.0
    • 0.24.1
    • 0.24.10
    • 0.24.2
    • 0.24.3
    • 0.24.4
    • 0.24.5
    • 0.24.6
    • 0.24.7
    • 0.24.8
    • 0.24.9
    • 0.25.0
    • 0.25.1
    • 0.25.2
    • 1.0.0
    • 1.1.0
    • 1.2.0
    • 1.2.1
    • 1.2.2
    • 1.2.3
    • 1.2.4
    Затронутые диапазоны версий
    • ECOSYSTEM: ≥ 0.24.0, < 1.2.5

    Обновитесь до 1.2.5

  • dulwich Ubuntu:16.04:LTS

    Версии
    • 0.11.2-1ubuntu1
    • 0.12.0-1
    • 0.12.0-1build1
    • 0.12.0-1build2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Ubuntu:18.04:LTS

    Версии
    • 0.18.2-1build1
    • 0.18.5-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Ubuntu:20.04:LTS

    Версии
    • 0.19.11-2
    • 0.19.14-4ubuntu1
    • 0.19.15-1
    • 0.19.15-1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Ubuntu:22.04:LTS

    Версии
    • 0.20.15-1ubuntu1
    • 0.20.31-1ubuntu1
    • 0.20.31-1.1
    • 0.20.31-1.1build1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Ubuntu:24.04:LTS

    Версии
    • 0.21.6-1
    • 0.21.6-1build1
    • 0.21.6-1build2
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Ubuntu:25.10

    Версии
    • 0.22.7-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Ubuntu:26.10

    Версии
    • 1.1.0-3
    • 1.2.12-1
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

  • dulwich Ubuntu:26.04:LTS

    Версии
    • 0.22.7-1
    • 0.24.2-2
    • 1.1.0-2ubuntu1
    • 1.1.0-3
    Затронутые диапазоны версий
    • ECOSYSTEM: (−∞, +∞)

    Нет опубликованного исправления

Первоисточники

Проверьте свой сервер →