CVE-2026-102437: Reasonix diff 보기 Git 명령 주입

// Go 인자 빌더 예시이며 공급업체 패치를 그대로 옮긴 것이 아닙니다.
package gitguard

import (
    "errors"
    "fmt"
    "path/filepath"
    "regexp"
)

// 호출자는 유효 속성이 선택한 모든 필터를 찾아 전체 집합을 전달해야 합니다.
// 이 도우미는 모든 Git 설정 범위에서 해당 driver 키를 무력화할 뿐입니다.
var filterDriverName = regexp.MustCompile(`^[A-Za-z0-9_-]{1,64}$`)

func hardenedDiffArgs(base, rel string, drivers []string, discoveryComplete bool) ([]string, error) {
    if !discoveryComplete {
        return nil, errors.New("cannot safely diff: filter-driver discovery failed")
    }
    args := []string{"-C", base}
    seen := map[string]struct{}{}
    for _, driver := range drivers {
        if !filterDriverName.MatchString(driver) {
            return nil, fmt.Errorf("cannot safely diff: unsupported Git filter driver name %q", driver)
        }
        // Git config 하위 섹션 이름은 대소문자를 구분하므로 driver 이름의 대소문자를 변환하지 않습니다.
        key := driver
        if _, ok := seen[key]; ok {
            continue
        }
        seen[key] = struct{}{}
        for _, setting := range []string{"clean", "smudge", "process", "required"} {
            args = append(args, "-c", "filter."+driver+"."+setting+"=")
        }
    }
    return append(args, "diff", "--no-ext-diff", "--no-textconv", "--relative", "HEAD", "--", filepath.FromSlash(rel)), nil
}