何が起きたか
isomorphic-git の checkout は、パスの途中にあるディレクトリのシンボリックリンクを確認せずにファイルを書き込んでいました。あるコミットでシンボリックリンクを置き、次のコミットで同名のディレクトリ配下にファイルを置いたリポジトリを clone して pull すると、作業ツリーの外へファイルが書かれます。Linux や macOS で Node の fs を使う場合、~/.ssh/authorized_keys や .git/hooks への書き込みを通じてコード実行につながります。
やること
1.38.6 以降へ更新してください。勧告によれば、Windows の Node fs ではシンボリックリンク作成が通常失敗するため既定では悪用しにくく、ブラウザやメモリ上の fs では影響が仮想ファイルシステム内に限られます。
出典
GitHub Advisory Databasegithub.com英語 ↗isomorphic-git のセキュリティ勧告github.com英語 ↗上の要約は通り道編集部がまとめたものです。影響範囲と修正版は必ず各出典で確認してください。