gitoxide использует SHA-1 без детекции коллизий и позволяет подменить git.exe на Windows

В gitoxide две проблемы, ослабляющие доверие к распаковываемым репозиториям.

SHA-1 без защиты от коллизий

gitoxide применяет реализации SHA-1 из крейтов sha1smol и sha1 без какого-либо обнаружения коллизий, что оставляет проект уязвимым к атакам через подбор коллизий хеша. Исправлено в 0.41.0.

Подмена git.exe на Windows

gix-path при поиске Git for Windows может быть обманут запуском другого git.exe из недоверенного места, доступного для записи ограниченной учётной записью. Исправлено в 0.10.9.

Оригинал

RUSTSEC-2025-0021, RUSTSEC-2024-0355