Der er udgivet rettelsesversioner af Forgejo samarbejdsplatformene 16.0.4 og 15.0.8, som løser en kritisk sårbarhed (CVE ikke tildelt), der muliggør, at en fjerntliggende angriber får udført sin kode på serveren. Administrators af Forgejo-servere anbefales at opdatere deres systemer straks og sikre, at der ikke er spor af kompromittering. Sårbarheden stammer fra manglende korrekt rengøring ved oprettelse af et nyt repository ud fra en skabelon.
For at forhindre indsættelse af egne kommandoer ved behandling af den brugerdefinerede skabelon, fjerner platformen undermappen .git/ før initialisering af et nyt git-repository på serveren. En angriber kunne omgå denne fjernelse og skabe en undermappe .git/ med sit eget indhold ved at manipulere med indsættelse af variabler i filer placeret i mappen .forgejo/template (for eksempel ved at indsætte «..../.git/hooks» i filstien). Ved efterfølgende initialisering af git-repositoryen anvendte Git indstillingerne fra undermappen .git/, som kunne inkludere operationer, der startede vilkårlige processer. Problemet er løst ved at fjerne undermappen .git/ ikke før ekspansion af variabler, men direkte før udførelsen af «git init».
I Gitea 1.25.5 blev en lignende sårbarhed (CVE-2026-25718) udbedret i februar.
Kilde: opennet.ru
