Ranljivost na platformi za zajednički razvoj Forgejo omogućava daljinsko izvršavanje koda

Objavljene su ispravke za platforme za suradnju Forgejo 16.0.4 i 15.0.8, koje uklanjaju kritičnu ranjivost (CVE nije dodijeljen) koja omogućuje udaljenom napadaču da izvrši vlastiti kod na poslužitelju. Administratorima Forgejo poslužitelja preporučuje se da hitno ažuriraju svoje sustave i provjere nema li znakova kompromitacije. Ranjivost je uzrokovana nedostatkom adekvatnog čišćenja prilikom stvaranja novog repozitorija iz predloška.

Kako bi se spriječila zamjena svojih komandi prilikom obrade predloška koji je korisnik dostavio, platforma uklanja poddirektorij .git/ prije inicijalizacije novog git-repozitorija na serveru. Napadač je mogao zaobići ovo uklanjanje i stvoriti poddirektorij .git/ sa svojim sadržajem manipulacijom s varijablama u datotekama smještenim u direktoriju .forgejo/template (na primjer, putem zamjene «..../..../.git/hooks» u putanji do datoteke). Prilikom sljedeće inicijalizacije git-repozitorija, Git je primjenjivao postavke iz poddirektorija .git/, koje su mogle uključivati operacije koje pokreću proizvoljne procese. Problem je riješen uklanjanjem poddirektorija .git/ ne prije otkrivanja varijabli, nego neposredno prije pokretanja «git init».

U Gitea 1.25.5 slična ranjivost (CVE-2026-25718) ispravljena je u veljači.

Izvor: opennet.ru