CVE-2026-4660-PoC

CVE-2026-4660 PoC 针对 CVE-2026-4660（HashiCorp 安全公告）在 hashicorp/go-getter 中的概念验证。我是原始报告者。 攻击者发布一个 Terraform 模块，其 ref 为 --pathspec-from-file=/path/to/file。当受害者运行 terraform init 时，go-getter 克隆仓库并调用 git checkout --pathspec-from-file=/path/to/file。Git 逐行读取目标文件，将每一行作为 pathspec 校验失败，并在错误输出中泄露文件内容。恶意 ref...