Falha grave de link simbólico no isomorphic-git permite gravação de arquivos

Em 9 de novembro de 2026, o GitHub Security Advisories e o projeto isomorphic-git publicaram um aviso de segurança de alta severidade sobre o isomorphic-git, uma implementação do git em JavaScript incorporada em muitas ferramentas de desenvolvimento, pipelines de CI e clientes de git para desktop ou baseados em Electron. O aviso descreve uma falha de path traversal que permite que operações de checkout gravem arquivos fora do diretório de trabalho pretendido por meio de um link simbólico para um diretório, plantado por um repositório malicioso, detalhada no aviso de segurança do isomorphic-git GHSA-9qw7-j9xw-fv9c.

Principais detalhes da falha

• Registrada como CVE-2026-63395, aviso de segurança do GitHub GHSA-9qw7-j9xw-fv9c, com nota CVSS 3.1 de 8.8 (severidade alta)
• Classificada como CWE-22 (path traversal) e CWE-59 (resolução incorreta de links)
• git.checkout grava arquivos da árvore de trabalho por meio de um link simbólico para um diretório sem validar o caminho inicial
• Um repositório malicioso pode plantar um link simbólico em um commit e, em seguida, gravar fora do diretório de trabalho, por exemplo em ~/.ssh ou no próprio .git do repositório, em um segundo commit
• A falha está na própria lógica de checkout do isomorphic-git e é independente do backend de sistema de arquivos usado
• Todas as versões até a 1.38.5, inclusive, são afetadas; a correção chega na 1.38.6

O que isso significa para quem constrói com IA

O isomorphic-git está amplamente incorporado em servidores Node.js, automação de CI, CLIs e clientes de git para desktop ou baseados em Electron, incluindo alguns sandboxes de agentes de código que fazem checkout de repositórios arbitrários. Qualquer uma dessas ferramentas deixada em uma versão não corrigida fica exposta à gravação arbitrária de arquivos e, potencialmente, à execução remota de código, apenas por clonar ou fazer checkout de um repositório manipulado.

O que fazer agora

Equipes que incorporam o isomorphic-git, diretamente ou por meio de uma dependência, devem atualizar para a versão 1.38.6, onde a correção se aplica independentemente do backend de sistema de arquivos usado na integração. O aviso foi publicado em 9 de novembro de 2026, às 19:53 UTC.

Fontes

• isomorphic-git: arbitrary file write via directory symlink (CVE-2026-63395) (GitHub Security Advisories / isomorphic-git, 9 de novembro de 2026, oficial)

Escrito com ajuda de IA, apenas a partir das fontes listadas acima. Antes de ir ao ar, verificações automáticas conferiram as datas, as fontes e todas as versões de idioma.