CVE-2026-45570: go-git: escape inadequado de aspas simples no transporte SSH

Visão geral

A biblioteca go-git, uma implementação do Git em Go puro, monta o comando exec remoto do seu transporte SSH colocando o caminho do repositório entre aspas simples. Aspas simples presentes dentro do caminho não são escapadas, então o caminho pode encerrar a região entre aspas antes do previsto e ser interpretado como tokens de shell adicionais. A fragilidade é classificada como CWE-116, Escape ou Codificação Inadequados de Saída.

Impacto

A NVD atribui ao registro pontuação 9.6 (crítica) pelo CVSS 3.1, com vetor de rede, baixa complexidade, nenhum privilégio exigido, interação do usuário necessária, escopo alterado e alto impacto em confidencialidade, integridade e disponibilidade.
A CNA GitHub atribui uma pontuação bem menor, pelo padrão CVSS mais recente, que o registro lista como 2.3.
Os dados SSVC do registro classificam o impacto técnico como parcial, a exploração como nenhuma e a automatização como não.
Se um atacante consegue influenciar o caminho do repositório depende de como a aplicação repassa caminhos ou URLs ao go-git; isso é uma inferência a partir da descrição.

Produtos e versões afetados

Go-git Go-git: versões anteriores a 5.19.1, e versões a partir de 6.0.0-alpha.1 até antes de 6.0.0-alpha.4.
Go-git Project Go-git: versões anteriores a 5.19.1, além de 6.0.0-alpha1, 6.0.0-alpha2 e 6.0.0-alpha3 conforme listadas no registro.
Versões corrigidas indicadas na descrição: 5.19.1 e 6.0.0-alpha.4.

Status de exploração

O registro indica que a vulnerabilidade não consta no catálogo KEV da CISA.
Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
A probabilidade EPSS no registro é 0.00427, com percentil de 0.35945.

Correção e mitigação

Atualize o go-git para 5.19.1 ou para 6.0.0-alpha.4, conforme a linha de versão em uso.
Se a atualização imediata não for possível, evite repassar caminhos de repositório vindos de fontes não confiáveis ao transporte SSH e valide os caminhos com uma lista de permissões restrita; essa mitigação é uma inferência e não é descrita no registro.
Consulte o aviso de segurança do GitHub para orientação oficial do fornecedor.

Orientação para detecção

Revise os logs da aplicação em busca de valores de caminho de repositório com caracteres de aspas incomuns, especialmente quando os caminhos vêm de entrada do usuário ou de sistemas externos.
Monitore processos filhos inesperados iniciados por serviços que usam o go-git via SSH.
Essas verificações são sugestões em alto nível e não são descritas no registro.

Limitações das informações disponíveis

O registro traz uma lista de correções vazia; as versões corrigidas foram extraídas da descrição e da referência GHSA.
A nomenclatura do produto difere entre as duas entradas afetadas, e as listas de versões não são totalmente consistentes.
O registro não descreve as condições exatas para explorar a falha nem detalhes de prova de conceito, e esta análise não os fornece.
O registro não inclui os detalhes completos do vetor CVSS 4.0 da pontuação menor.

Perguntas frequentes

Qual é o problema central do CVE-2026-45570?

O transporte SSH do go-git envolve o caminho do repositório em aspas simples sem escapar aspas simples internas, então um caminho elaborado pode sair da região entre aspas.

Quais versões estão corrigidas?

A descrição indica correção nas versões 5.19.1 e 6.0.0-alpha.4. A lista de correções do registro está vazia, então consulte o aviso do GitHub para detalhes.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que ela não consta no catálogo KEV da CISA, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.