Byly zveřejněny opravy platformy pro spolupráci Forgejo 16.0.4 a 15.0.8, které odstraňují kritickou zranitelnost (CVE nebyl přidělen), umožňující vzdálenému útočníkovi dosáhnout spuštění vlastního kódu na serveru. Správcům serverů Forgejo se doporučuje co nejdříve aktualizovat své systémy a ujistit se, že nedošlo k žádnému narušení. Zranitelnost byla způsobena nedostatečným čištěním při vytváření nového repozitáře ze šablony.
Aby se zabránilo zneužívání vlastních příkazů při zpracovávání zadané šablony uživatelem, platforma před inicializací nového git-repozitáře odstraní podadresář .git/ z něj. serveru. Útočník mohl toto odstranění obejít a vytvořit podadresář .git/ se svým obsahem manipulací se záměnou proměnných ve файlech umístěných v adresáři .forgejo/template (například prostřednictvím záměny „.. /.. / .git/hooks“ v souborové cestě). Při následné inicializaci git-repozitáře Git uplatňoval nastavení z podadresáře .git/, která mohla zahrnovat operace spouštějící libovolné procesy. Problém byl vyřešen odstraněním podadresáře .git/ těsně před spuštěním „git init“, a nikoli před odhalením proměnných.
Ve verzi Gitea 1.25.5 byla podobná zranitelnost (CVE-2026-25718) opravena v únoru.
Zdroj: opennet.ru
