Zafiyet.live Keşfet. Değerlendir. Düzelt. Doğrula.
Menü
  • Yama var
  • Son 7 gün
  • CWE-22
  • CWE-59

CVE-2026-63395

isomorphic-git: Dizin sembolik bağlantısı üzerinden çalışma ağacı dışına dosya yazma (potansiyel RCE)

isomorphic-git

Yüksek 8,8 CVSS 3.1
Yayımlandı
Güncellendi
4 Kas 2026
Açık yaşı
1 gün
Kaydı açan
GitHub_M

Yönetici özeti

Bu açık, Git depolarını işleyen yazılımların sistem üzerinde istenmeyen dosyalar yazmasına ve sunucunun ele geçirilmesine yol açabilir. Etkilenen sürüm kullanılan uygulamalarda ciddi bir iş riski oluşturur ve güncelleme öncelikli olarak ele alınmalıdır.

ÖzetTürkçe

isomorphic-git, Node.js ve tarayıcılar için saf JavaScript ile yazılmış bir Git uygulamasıdır. 1.38.6 öncesi sürümlerde git.checkout işlemi, sembolik bağlantı olan üst dizin bileşenlerinin içinden yeni alt yolları kontrol etmeden yazar. Kötü niyetli bir depo önce bir dizin sembolik bağlantısı yerleştirip sonra bu yol altına dosya ekleyebilir; bu durum genellikle klonlama ardından yapılan çekme (pull) işlemiyle tetiklenir. Node fs kullanan Linux ve macOS sistemlerindeki uygulamalar etkilenir; Windows'ta bu saldırı çoğunlukla ek yetki olmadan engellenir.

Saldırgan ne yapabilir?

Saldırgan, çalışma ağacı dışında sunucuda veya kullanıcının bilgisayarında keyfi dosyalar yazabilir ve bu durum uzaktan kod çalıştırmaya yol açabilir. Sistemin gizlilik, bütünlük ve erişilebilirliği ciddi biçimde etkilenebilir.

Kaynaktaki açıklama (İngilizce)

isomorphic-git is a pure JavaScript implementation of Git for Node.js and browsers. Prior to 1.38.6, isomorphic-git's git.checkout writes new child paths through symlinked leading directory components without checking them. A malicious repository can first place a directory symlink and later replace the tree state with a child file beneath that path; the usual trigger is a clone followed by a later pull, while a single clone can trigger the issue when a symlink already exists or the consuming application accesses the tree. With Node fs on Linux or macOS, the operating system can resolve the write outside the working tree, permitting arbitrary host file writes and possible code execution. Node fs on Windows usually blocks the symlink plant without additional privilege, and browser or in-memory providers limit impact to their virtual filesystem and are affected only when they implement symlink creation and following. This issue is fixed in version 1.38.6.

Ne yapmalı?

  1. isomorphic-git kütüphanesini 1.38.6 veya daha yeni bir sürüme yükseltin. Üretici
  2. Uygulamanın bağımlılıklarını güncelledikten sonra yeniden derleyip dağıtın ve kütüphanenin kullanılan sürümünü doğrulayın. Genel öneri
  3. Güncelleme yapılana kadar güvenilmeyen depoların klonlanmasını ve çekilmesini (pull) durdurun. Genel öneri

Ek önlemler

  • Uygulamanın çalıştığı süreci, yazma yetkisi olan dizinleri en aza indirecek şekilde düşük yetkili bir kullanıcıyla çalıştırın. Genel öneri
  • Çalışma ağaçlarında beklenmeyen sembolik bağlantıların oluşup oluşmadığını izleyin. Genel öneri

Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.

Etkilenen sürümler1 yazılım

YazılımEtkilenenDüzeltildiği sürüm
isomorphic-git < 1.38.6 1.38.6

Kaynaklar6 kaynak

Kayıt geçmişi

  1. Yayımlandı

İlgili açıklar

Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.