Forgejoコラボレーション開発プラットフォームのバージョン16.0.4と15.0.8のパッチリリースが公開されました。これらのパッチは、リモート攻撃者がサーバー上でコードを実行できる可能性のある重大な脆弱性（CVE番号未割り当て）に対処するものです。Forgejoサーバー管理者は、システムを直ちにアップデートし、侵害の痕跡がないことを確認してください。この脆弱性は、テンプレートから新しいリポジトリを作成する際に適切なクリーンアップが行われないことが原因です。
ユーザー提供のテンプレートを処理する際にコマンドが置き換えられるのを防ぐため、プラットフォームは新しいgitリポジトリを初期化する前に.git/サブディレクトリを削除します。 サーバ攻撃者は、.forgejo/template ディレクトリ内のファイルで変数置換を操作することで（例えば、ファイルパスに "../../.git/hooks" を置換するなど）、この削除を回避して独自のコンテンツを含む .git/ サブディレクトリを作成することができました。その後の Git リポジトリの初期化時に、Git は .git/ サブディレクトリの設定を適用し、その中には任意のプロセスを起動する操作が含まれる可能性がありました。この問題は、変数展開の前ではなく、「git init」を実行する直前に .git/ サブディレクトリを削除することで解決されました。
Gitea 1.25.5では、同様の脆弱性（CVE-2026-25718）が2月に修正されました。
出所： オープンネット.ru
