Elijah Newren是GitHub的员工软件工程师。他是merge-ort （ Git自2.34以来的默认合并策略）的设计者和实现者，是git-filter-repo （ Git项目正式推荐的历史记录重写工具）的作者，也是sparse-checkout背后的驱动力。今天， Git项目发布了新版本，以解决六个安全漏洞。
其中包括在递归克隆恶意存储库时执行任意代码、写入意外文件以及在处理合并或二进制补丁时损坏内存。修复包含在Git 2.56.1中，并反向移植到Git 2.55.1、2.54.1、2.53.1、2.52.1、2.51.3和2.50.2。我们建议您为维护系列更新到Git 2.56.1或修补版本，并更新捆绑Git的所有应用程序。
Git CVE-2026-111760中的漏洞：递归克隆期间的代码执行Git在将文件写入工作树之前检查路径，包括拒绝会覆盖其自己的存储库元数据的路径。
但是， Git的索引处理中的整数截断可能会导致非常长的路径以一个名称通过验证，然后使用较短的名称进行写入。折叠注释攻击者可以利用此差异将子模块的.git文件替换为指向包含恶意配置或钩子的目录的符号链接。
当Git随后使用该目录时，它可以在递归克隆期间执行攻击者控制的代码。在截断长度之前，修复程序会拒绝极长的索引条目路径。[建议] CVE-2026-113408：通过服务器通告的HEAD的路径遍历当使用Git协议v2克隆空存储库时，服务器可以通告指向未出生分支（尚未提交）的HEAD symref。