Rilis patch untuk platform pengembangan kolaboratif Forgejo, versi 16.0.4 dan 15.0.8, telah diterbitkan. Patch ini mengatasi kerentanan kritis (CVE belum ditetapkan) yang dapat memungkinkan penyerang jarak jauh untuk mengeksekusi kode di server. Administrator server Forgejo disarankan untuk segera memperbarui sistem mereka dan memastikan tidak ada jejak kompromi. Kerentanan ini disebabkan oleh kurangnya pembersihan yang tepat saat membuat repositori baru dari templat.
Untuk mencegah penggantian perintah saat memproses templat yang diberikan pengguna, platform menghapus subdirektori .git/ darinya sebelum menginisialisasi repositori git baru. serverPenyerang dapat melewati penghapusan ini dan membuat subdirektori .git/ yang berisi kontennya sendiri dengan memanipulasi substitusi variabel dalam file yang terletak di direktori .forgejo/template (misalnya, dengan mengganti "../../.git/hooks" ke dalam jalur file). Setelah inisialisasi repositori Git berikutnya, Git akan menerapkan pengaturan dari subdirektori .git/, yang dapat mencakup operasi yang meluncurkan proses sembarangan. Masalah ini diselesaikan dengan menghapus subdirektori .git/ tepat sebelum menjalankan "git init," bukan sebelum perluasan variabel.
Pada Gitea 1.25.5, kerentanan serupa (CVE-2026-25718) telah diperbaiki pada bulan Februari.
Sumber: opennet.ru
