Vulnerabilidad en go-git (CVE-2026-25934)

go-git es una biblioteca de implementación de git altamente extensible escrita en Go puro. Antes de la versión 5.16.5, se descubrió una vulnerabilidad en go-git por la cual los valores de integridad de datos para los archivos .pack y .idx no se verificaban correctamente. Esto resultaba en que go-git podía consumir archivos corruptos, lo que probablemente provocaría errores inesperados como 'objeto no encontrado'. Para contextualizar, los clientes obtienen los packfiles de los servidores Git ascendentes. Esos archivos contienen una suma de verificación (checksum) de sus contenidos, para que los clientes puedan realizar comprobaciones de integridad antes de consumirlos. Los índices pack (.idx) son generados localmente por go-git, o por la CLI de git, cuando se reciben y procesan nuevos archivos .pack. Las comprobaciones de integridad para ambos archivos no se estaban verificando correctamente. Esta vulnerabilidad está corregida en la versión 5.16.5.