פגיעות בפלטפורמת הפיתוח השיתופית Forgejo מאפשרת ביצוע קוד מרחוק.

פורסמו גרסאות טלאים של פלטפורמת הפיתוח השיתופית Forgejo, גרסאות 16.0.4 ו-15.0.8. טלאים אלה מטפלים בפגיעות קריטית (CVE לא הוקצה) שעלולה לאפשר לתוקף מרוחק לבצע קוד בשרת. מומלץ למנהלי שרת Forgejo לעדכן באופן מיידי את המערכות שלהם ולוודא שאין עקבות של פגיעה. הפגיעות נגרמת מחוסר ניקוי נאות בעת יצירת מאגר חדש מתבנית.

כדי למנוע החלפה של הפקודות שלה בעת עיבוד תבנית שסופקה על ידי המשתמש, הפלטפורמה מסירה את ספריית המשנה .git/ ממנה לפני אתחול מאגר git חדש. שרתתוקף יכול לעקוף מחיקה זו וליצור ספריית משנה מסוג .git/ המכילה את התוכן שלה על ידי מניפולציה של החלפת משתנים בקבצים הממוקמים בספריית .forgejo/template (לדוגמה, על ידי החלפת "../../.git/hooks" בנתיב הקובץ). לאחר אתחול מאגר Git לאחר מכן, Git יחיל הגדרות מספריית המשנה .git/, שיכולות לכלול פעולות שמפעילות תהליכים שרירותיים. בעיה זו נפתרה על ידי מחיקת ספריית המשנה .git/ מיד לפני הרצת "git init", ולא לפני הרחבת המשתנים.

ב-Gitea 1.25.5, פגיעות דומה (CVE-2026-25718) תוקנה בפברואר.

מקור: OpenNet.ru