تم نشر تحديثات لمنصة التطوير التعاوني Forgejo، الإصدارين 16.0.4 و15.0.8. تعالج هذه التحديثات ثغرة أمنية خطيرة (لم يتم تحديد رقم CVE لها) قد تسمح لمهاجم عن بُعد بتنفيذ تعليمات برمجية على الخادم. يُنصح مسؤولو خوادم Forgejo بتحديث أنظمتهم فورًا والتأكد من خلوها من أي آثار للاختراق. تنشأ هذه الثغرة الأمنية نتيجة عدم إجراء التنظيف اللازم عند إنشاء مستودع جديد من قالب.
لمنع استبدال أوامرها عند معالجة قالب مُقدّم من المستخدم، تقوم المنصة بإزالة الدليل الفرعي .git/ منه قبل تهيئة مستودع git جديد على الخادميمكن للمهاجم تجاوز عملية الحذف هذه وإنشاء مجلد فرعي باسم .git/ يحتوي على محتوياته الخاصة عن طريق التلاعب باستبدال المتغيرات في الملفات الموجودة في المجلد .forgejo/template (على سبيل المثال، باستبدال "../../.git/hooks" في مسار الملف). عند تهيئة مستودع Git لاحقًا، سيطبق Git الإعدادات من المجلد الفرعي .git/، والتي قد تتضمن عمليات تُشغّل عمليات عشوائية. تم حل هذه المشكلة بحذف المجلد الفرعي .git/ مباشرةً قبل تشغيل الأمر "git init"، بدلاً من حذفه قبل توسيع المتغيرات.
في Gitea 1.25.5، تم إصلاح ثغرة أمنية مماثلة (CVE-2026-25718) في فبراير.
المصدر: opennet.ru
