Megjelentek a Forgejo 16.0.4 és 15.0.8 közösségi fejlesztési platform korrekciós frissítései, amelyek orvosolják a kritikus sebezhetőséget (CVE nem kijelölt), amely lehetővé tette a távoli támadó számára, hogy kódot futtasson a szerveren. A Forgejo szerveradminisztrátoroknak sürgősen frissíteniük kell rendszereiket, és meg kell győződniük arról, hogy nincsenek nyomai a kompromittálásnak. A sebezhetőség a megfelelő tisztítás hiányából ered, amikor új repó jön létre egy sablonból.
Annak érdekében, hogy megakadályozza a felhasználó által átadott sablonban lévő parancsok beszúrását, a platform eltávolítja a sablonból a .git/ alkönyvtárat, mielőtt új git-repót inicializálna szerveren. A támadó megkerülhette ezt az eltávolítást és elérhette a .git/ alkönyvtár létrehozását a saját tartalmával a változók fájlokba való beszúrásával, amelyek a .forgejo/template könyvtárban találhatók (például a fájlútvonalban „..//..//.git/hooks” beszúrásával). Az új git-repó inicializálásakor a Git a .git/ alkönyvtárból származó beállításokat alkalmazott, amelyek tartalmazhattak olyan műveleteket, amelyek tetszőleges folyamatokat indíthattak. A probléma megoldva van, mivel a .git/ alkönyvtárat a változók kibővítése előtt, közvetlenül a „git init” végrehajtása előtt távolítják el.
A Gitea 1.25.5-ben hasonló sebezhetőséget (CVE-2026-25718) februárban javítottak.
Forrás: opennet.ru
