There are packages installed that are affected by a vulnerability referenced in the following CVE:

  - GitPython before 3.1.62 does not validate the `path` field read from an untrusted .gitmodules file when
    updating submodules. While a prior fix (GHSA-hmq2-w58f-27jc) added Submodule._validated_name() to
    constrain the `name` field, and GitPython's own containment guard Submodule._to_relative_path() is applied
    in add() and move(), Submodule.update() derives the absolute checkout location from the raw `path` value
    without that guard. A .gitmodules entry containing directory traversal components (e.g., path =
    ../../../tmp/escaped) can therefore cause directories to be created via os.makedirs() outside the
    repository working tree, populated from the submodule URL on the clone path, and removed via
    shutil.rmtree() when force_remove is used. Exploitation requires an application flow that updates
    submodules at a non-HEAD commit (such as a historical-commit API); the common clone-then-update flow re-
    derives the path from a canonical tree lookup and is not affected. The issue is fixed in GitPython 3.1.62.
    (CVE-2026-100689)

Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - 更新子模組時，GitPython 之前 3.1.62 不會驗證從不受信任的 .gitmodules 檔案讀取的「path」欄位。雖然先前的修正 （GHSA-hmq2-w58f-27jc） 新增了 Submodule._validated_name（） 來限制 'name' 欄位，並且 GitPython 自己的遏制防護 Submodule._to_relative_path（） 應用於 add（） 和 move（），但 Submodule.update（） 從沒有該防護的原始「路徑」值派生絕對簽出位置。包含目錄遊走元件的 .gitmodules 項目 （例如，path = ../../../tmp/escaped） 會導致目錄透過存放庫工作樹狀結構之外的 os.makedirs（） 建立，從複製路徑上的子模組 URL 填入，並在使用 force_remove 時透過 shutil.rmtree（） 移除目錄。利用需要在非 HEAD 提交時更新子模組的應用程式流程 （例如歷史提交 API）;常見的複製然後更新流程會從標準樹狀結構查詢重新衍生路徑，並且不受影響。此問題已在 GitPython 3.1.62中修正。
    (CVE-2026-100689)

請注意，Nessus 依賴供應商報告的套件存在。

Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - 之前 3.1.62 的 GitPython 在更新子模块时不会验证从不受信任的 .gitmodules 文件读取的“path”字段。先前的补丁 （GHSA-hmq2-w58f-27jc） 添加了 Submodule._validated_name（） 以限制“name”字段，且 add（） 和 move（） 应用了 GitPython 自己的遏制防护 Submodule._to_relative_path），Submodule.update（） 从没有该防护的原始“path”值派生绝对检出位置。包含目录遍历组件（如 path = ../../../tmp/escaped） 可造成通过存储库工作树外的 os.makedirs（） 创建目录、从克隆路径上的子模块 URL 填充目录，并在使用force_remove时通过 shutil.rmtree（） 删除目录。要利用此漏洞，需要应用程序流在非 HEAD 提交时更新子模块（例如历史提交 API）;通用的 clone-then-update 流会从规范树状结构查找重新派生路径，且不会受到影响。GitPython 3.1.62中修复了此问题。
    (CVE-2026-100689)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - 3.1.62 以前の GitPython は、サブモジュールの更新時に、信頼できない .gitmodules ファイルからの「path」フィールド読み込みを検証しません。以前の修正(GHSA-hmq2-w58f-27jc)では、「name」フィールドを制限するために Submodule._validated_name() が追加され、GitPython 独自の格納テインメントガードSubmodule._to_relative_path) が add() と move() に適用されていますが、Submodule.update() はガードなしで生の「パス」値から絶対チェックアウト位置を導き出します。ディレクトリトラバーサルコンポーネント(例:path = .../../../tmp/escaped)により、リポジトリのワーキングツリー外のos.makedirs()を介してディレクトリが作成され、クローンパスのサブモジュールURLから入力され、force_removeが使用されるときにshutil.rmtree()を介して削除される可能性があります。悪用するには、非 HEAD コミットでサブモジュールを更新するアプリケーション フロー (ヒストリカル コミット API など) が必要です。共通の clone-then-update フローは、正規ツリー検索からパスを再派生させるため、影響を受けません。この問題は GitPython 3.1.62 で修正されています。
    (CVE-2026-100689)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

The Linux/Unix host has one or more packages installed that are impacted by a vulnerability without a vendor supplied patch available.

  - GitPython before 3.1.62 does not validate the `path` field read from an untrusted .gitmodules file when     updating submodules. While a prior fix (GHSA-hmq2-w58f-27jc) added Submodule._validated_name() to     constrain the `name` field, and GitPython's own containment guard Submodule._to_relative_path() is applied     in add() and move(), Submodule.update() derives the absolute checkout location from the raw `path` value     without that guard. A .gitmodules entry containing directory traversal components (e.g., path =     ../../../tmp/escaped) can therefore cause directories to be created via os.makedirs() outside the     repository working tree, populated from the submodule URL on the clone path, and removed via     shutil.rmtree() when force_remove is used. Exploitation requires an application flow that updates     submodules at a non-HEAD commit (such as a historical-commit API); the common clone-then-update flow re-     derives the path from a canonical tree lookup and is not affected. The issue is fixed in GitPython 3.1.62.
    (CVE-2026-100689)

Note that Nessus relies on the presence of the package as reported by the vendor.

ID	Name	Product	Family	Published	Updated	Severity
474837	Echo: python-git: security update to 3.1.62	Tenable Self-Hosted Container Security	Echo Local Security Checks	10/16/2026	10/16/2026	high
474837	Echo: python-git: security update to 3.1.62	Tenable Cloud Security	Echo Local Security Checks	10/16/2026	10/16/2026	high
350791	Linux Distros 未修補弱點：CVE-2026-100689	Nessus	Misc.	9/26/2026	10/9/2026	high
350791	Linux Distros 未修补的漏洞：CVE-2026-100689	Nessus	Misc.	9/26/2026	10/9/2026	high
350791	Linux Distros のパッチ未適用の脆弱性: CVE-2026-100689	Nessus	Misc.	9/26/2026	10/9/2026	high
350791	Linux Distros Unpatched Vulnerability : CVE-2026-100689	Nessus	Misc.	9/26/2026	10/9/2026	high

Detections

Analytics

Plugins Search

high

high

high

high

high

high