再帰クローンで、攻撃者が用意したリポジトリがコードを実行できる。index のパス長が整数として切り詰められ、検証を通った長いパスが短い名前で書かれる。サブモジュールの .git ファイルを、悪意ある config や hooks のあるディレクトリへのシンボリックリンクに置き換え、その後の処理で攻撃者のコードが走る。識別子は CVE-2026-111760。深刻度は High で、CVSS 3.1 は 8.0。
アドバイザリの対象版は all。修正版は 2.56.1、2.55.1、2.54.1、2.53.1、2.52.1、2.51.3、2.50.2。同梱の Git を持つアプリも上げる。
アドバイザリは、--recurse-submodules を付けたクローンで発火すると書いている。すぐ上げられない間は、信頼できないリポジトリの再帰クローンを避ける。
GitHub Enterprise Server の修正版は 3.19.15、3.20.11、3.21.9、3.22.4。github.com と GitHub Enterprise Cloud には修正が入っている。