Forgejo কোলাবোরেটিভ ডেভেলপমেন্ট প্ল্যাটফর্মের একটি দুর্বলতার কারণে রিমোট কোড এক্সিকিউশন সম্ভব হয়।

Forgejo কোলাবোরেটিভ ডেভেলপমেন্ট প্ল্যাটফর্মের ভার্সন 16.0.4 এবং 15.0.8-এর প্যাচিং রিলিজ প্রকাশিত হয়েছে। এই প্যাচগুলো একটি গুরুতর দুর্বলতা (CVE এখনও নির্ধারিত হয়নি) সমাধান করে, যার ফলে একজন দূরবর্তী আক্রমণকারী সার্ভারে কোড এক্সিকিউট করতে পারত। Forgejo সার্ভার অ্যাডমিনিস্ট্রেটরদের অবিলম্বে তাদের সিস্টেম আপডেট করতে এবং সিস্টেমে কোনো ধরনের আপোসের চিহ্ন না থাকা নিশ্চিত করার পরামর্শ দেওয়া হচ্ছে। একটি টেমপ্লেট থেকে নতুন রিপোজিটরি তৈরি করার সময় যথাযথ ক্লিনআপের অভাবে এই দুর্বলতাটি ঘটে থাকে।

ব্যবহারকারীর সরবরাহ করা টেমপ্লেট প্রক্রিয়াকরণের সময় এর কমান্ডগুলির প্রতিস্থাপন রোধ করতে, প্ল্যাটফর্মটি একটি নতুন গিট রিপোজিটরি শুরু করার আগে সেটির থেকে .git/ সাবডিরেক্টরিটি মুছে ফেলে। সার্ভারএকজন আক্রমণকারী .forgejo/template ডিরেক্টরিতে থাকা ফাইলগুলিতে ভেরিয়েবল প্রতিস্থাপন কৌশল ব্যবহার করে (উদাহরণস্বরূপ, ফাইল পাথে "../../.git/hooks" বসিয়ে) এই ডিলিট প্রক্রিয়াটি এড়িয়ে যেতে পারত এবং নিজস্ব কন্টেন্ট সহ একটি .git/ সাবডিরেক্টরি তৈরি করতে পারত। পরবর্তীকালে গিট রিপোজিটরি চালু করার সময়, গিট .git/ সাবডিরেক্টরি থেকে সেটিংস প্রয়োগ করত, যার মধ্যে এমন অপারেশনও অন্তর্ভুক্ত থাকতে পারত যা যথেচ্ছ প্রসেস চালু করে দেয়। ভেরিয়েবল এক্সপ্যানশনের আগে নয়, বরং "git init" চালানোর ঠিক আগে .git/ সাবডিরেক্টরিটি ডিলিট করার মাধ্যমে এই সমস্যার সমাধান করা হয়েছিল।

Gitea 1.25.5-এ ফেব্রুয়ারিতে একটি অনুরূপ দুর্বলতা (CVE-2026-25718) সমাধান করা হয়েছিল।

উত্স: opennet.ru