Forgejo-yhteistyöalustalle on julkaistu korjauspäivitykset, versiot 16.0.4 ja 15.0.8. Nämä korjaukset korjaavat kriittisen haavoittuvuuden (CVE-haavoittuvuutta ei ole määritetty), joka voi antaa etähyökkääjän suorittaa koodia palvelimella. Forgejo-palvelimen ylläpitäjiä kehotetaan päivittämään järjestelmänsä välittömästi ja varmistamaan, ettei tietomurrosta ole jälkiä. Haavoittuvuuden aiheuttaa asianmukaisen siivouksen puute uutta tietovarastoa luotaessa mallipohjasta.
Jotta komentojen korvaaminen käyttäjän toimittaman mallin käsittelyssä estetään, alusta poistaa siitä .git/-alihakemiston ennen uuden git-arkiston alustamista palvelinHyökkääjä voisi ohittaa tämän poiston ja luoda .git/-alihakemiston, joka sisältää oman sisällönsä, muokkaamalla muuttujien korvaamista .forgejo/template-hakemistossa sijaitsevissa tiedostoissa (esimerkiksi korvaamalla tiedostopolun "../../.git/hooks"). Git-arkiston myöhemmän alustuksen yhteydessä Git ottaisi käyttöön .git/-alihakemiston asetuksia, jotka voisivat sisältää toimintoja, jotka käynnistävät mielivaltaisia prosesseja. Tämä ongelma ratkaistiin poistamalla .git/-alihakemisto välittömästi ennen "git init" -komennon suorittamista eikä ennen muuttujien laajentamista.
Gitea 1.25.5:ssä korjattiin helmikuussa samanlainen haavoittuvuus (CVE-2026-25718).
Lähde: opennet.ru
