「GitPython」の脆弱性 CVE-2026-67324

CVE ID	CVE-2026-67324
対象製品	GitPython (gitpython-developers)
影響バージョン	3.1.50 〜 < 3.1.51 (affected) 3.1.51 (unaffected)
CVSS	9.3 / 10 (緊急) CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
CWE	CWE-78
公開日	2026年8月1日
更新日	2026年8月1日

CVE ID

CVE-2026-67324

対象製品

GitPython (gitpython-developers)

影響バージョン

3.1.50 〜 < 3.1.51 (affected)
3.1.51 (unaffected)

CVSS

9.3 / 10 (緊急)

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N

CWE

CWE-78

公開日

2026年8月1日

更新日

2026年8月1日

どんな危険があるか

GitPython 3.1.50には、結合されたショートオプション（例: -u) の認識に不備があるため、不正なオプション制限をバイパスされる脆弱性（CWE-78）があります。攻撃者は、アプリケーションが提供するクローンオプションを操作し、「-u」形式で不正な値を指定することで、指定されたヘルパーコマンドをGitのクローンプロセス中に実行させる可能性があります。これにより、リモートコード実行につながり、システムが侵害される恐れがあります。

今すぐやること

GitPythonのバージョンが3.1.50の場合、速やかにバージョン3.1.51以降にアップデートしてください。この修正により、結合されたショートオプションの適切な処理が実施され、不正なオプションによるバイパスが防止されます。ベンダーアドバイザリを参照し、推奨されるアップデート手順を確認してください。

本ページの情報は公開時点 (2026年8月2日) のものです。最新情報は上記の出典を確認してください。

本ページは CVE Program のデータを含みます。CVE および関連するロゴは MITRE Corporation の商標です。CVE レコードは CVE Terms of Use に基づき再構成・掲載しています。

脆弱性データの一部は採番機関 (CNA) 「VulnCheck」のアドバイザリを出典としています。データは db.gcve.eu (CIRCL / GCVE) 経由で取得しました。