CVE-2026-69097

7.0 HIGHPublieke exploitEPSS 0.29%

Gepubliceerd3 aug 2026

Beschrijving

GitPython before 3.1.53 fails to properly escape section names in git config files, allowing attackers to inject arbitrary configuration directives through malicious submodule names. Attackers can inject core.sshCommand or other dangerous config keys into the victim's .git/config via create_submodule or clone_from operations, achieving remote code execution when git performs ssh operations.

CVSS 3.1-ontleding

Attack vectorLocal

Attack complexityHigh

Privileges requiredNone

User interactionRequired

ScopeUnchanged

ConfidentialityHigh

IntegrityHigh

AvailabilityHigh

CVSS:3.1/AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H

Getroffen producten

Gitpython Project Gitpython< 3.1.53

Herstel

Opgelost in

Gitpython Project Gitpython≥ 3.1.53

Patch- & leveranciersadviezen

https://github.com/gitpython-developers/GitPython/security/advisories/GHSA-3rp5-jjmw-4wv2

Referenties

https://github.com/gitpython-developers/GitPython/security/advisories/GHSA-3rp5-jjmw-4wv2ExploitMitigationVendor Advisory
https://www.vulncheck.com/advisories/gitpython-before-config-injection-via-submodule-namesThird Party Advisory

Gerelateerde CVE's

Recente ernstige kwetsbaarheden met hetzelfde zwakhedentype.

Veelgestelde vragen

Wordt CVE-2026-69097 actief misbruikt?

CVE-2026-69097 staat niet in de CISA KEV-catalogus. Er bestaat een publieke exploit-referentie, dus behandel het als misbruikbaar. De EPSS-exploitkans is 0.29%.

Hoe ernstig is CVE-2026-69097?

CVE-2026-69097 heeft een CVSS 3.1-basisscore van 7.0, beoordeeld als high. EPSS schat een exploitkans van 0.29%.

Welke producten zijn getroffen door CVE-2026-69097?

Getroffen producten zijn onder meer Gitpython Project Gitpython.

Hoe verhelp ik CVE-2026-69097?

Werk getroffen software bij naar een opgeloste versie, bijvoorbeeld Gitpython Project Gitpython 3.1.53 of later, en controleer daarna dat er geen getroffen versies meer in uw inventaris staan.

Hoe Secuno hiermee omgaat

Secuno correleert kwetsbaarheden zoals CVE-2026-69097 dagelijks tegen de werkelijke software-inventaris op elk beheerd apparaat. In plaats van een statische ernst wordt elke match in context gescoord: exploitbeschikbaarheid, EPSS, de blootstelling van het asset en bedrijfskriticiteit bepalen de prioriteit. Als een getroffen versie ergens in uw portfolio aanwezig is, verschijnt die automatisch met een geprioriteerd hersteltraject.

Zie hoe prioritering werkt Plan een demo

Data uit de NVD, CISA KEV-catalogus en FIRST EPSS. CVSS 3.1-basisscore getoond indien beschikbaar.