Der er blevet udgivet patch-udgivelser af Forgejos kollaborative udviklingsplatform, version 16.0.4 og 15.0.8. Disse patches adresserer en kritisk sårbarhed (CVE ikke tildelt), der kan give en ekstern angriber mulighed for at udføre kode på serveren. Forgejo-serveradministratorer rådes til straks at opdatere deres systemer og sikre, at der ikke er spor af kompromittering. Sårbarheden skyldes manglende korrekt oprydning, når der oprettes et nyt repository fra en skabelon.
For at forhindre udskiftning af dens kommandoer under behandling af en brugerleveret skabelon, fjerner platformen undermappen .git/ fra den, før et nyt git-arkiv initialiseres. serverEn angriber kunne omgå denne sletning og oprette en .git/-undermappe med sit eget indhold ved at manipulere variabelsubstitution i filer placeret i .forgejo/template-mappen (for eksempel ved at erstatte "../../.git/hooks" i filstien). Ved efterfølgende initialisering af Git-repositoryet ville Git anvende indstillinger fra .git/-undermappen, som kunne omfatte handlinger, der starter vilkårlige processer. Dette problem blev løst ved at slette .git/-undermappen umiddelbart før kørsel af "git init" i stedet for før variabeludvidelse.
I Gitea 1.25.5 blev en lignende sårbarhed (CVE-2026-25718) rettet i februar.
Kilde: opennet.ru
