Публикувани са коригиращи версии на платформата за съвместна разработка Forgejo 16.0.4 и 15.0.8, в които е отстранена критична уязвимост (CVE не е назначен), позволяваща на отдалечен нападател да изпълни свой код на сървъра. Препоръчва се на администраторите на сървъри Forgejo незабавно да актуализират системите си и да се уверят, че няма следи от компрометация. Уязвимостта е причинена от недостатъчно почистване при създаването на нов репозиторий от шаблон.
За да се предотврати инжектиране на собствени команди при обработката на предоставения от потребителя шаблон, платформата премахва подкаталога .git/ преди инициализацията на новия git-репозиторий на сървър. Нападателят може да заобиколи това отстраняване и да създаде подкаталог .git/ със съдържание чрез манипулация с вмъкването на променливи в файловете, разположени в директорията .forgejo/template (например, чрез вмъкване на «..../.git/hooks» в пътя на файла). При последващата инициализация на git-репозитория Git прилага настройки от подкаталога .git/, които могат да включват операции, стартиращи произволни процеси. Проблемът е решен чрез премахване на подкаталога .git/ не преди разкритие на променливите, а непосредствено преди изпълнението на «git init».
В Gitea 1.25.5 подобна уязвимост (CVE-2026-25718) беше отстранена през февруари.
Източник: opennet.ru
