Forgejo бірлескен әзірлеу платформасының 16.0.4 және 15.0.8 нұсқаларының патч шығарылымдары жарияланды. Бұл патчтар қашықтағы шабуылдаушыға серверде кодты орындауға мүмкіндік беретін маңызды осалдықты (CVE тағайындалмаған) жояды. Forgejo сервер әкімшілеріне жүйелерін дереу жаңартып, ешқандай бұзушылық іздері жоқ екеніне көз жеткізу ұсынылады. Осалдық шаблоннан жаңа репозиторий жасаған кезде тиісті тазалаудың болмауынан туындаған.
Пайдаланушы берген үлгіні өңдеу кезінде оның командаларының ауыстырылуын болдырмау үшін, платформа жаңа git репозиторийін іске қоспас бұрын одан .git/ ішкі каталогын жояды. серверШабуылдаушы бұл жоюды айналып өтіп, .forgejo/template каталогында орналасқан файлдардағы айнымалы алмастыруды басқару арқылы (мысалы, файл жолына "../../.git/hooks" дегенді қою арқылы) өзінің мазмұны бар .git/ ішкі каталогын жасай алады. Кейіннен Git репозиторийін инициализациялаған кезде, Git .git/ ішкі каталогынан параметрлерді қолданады, оған кез келген процестерді іске қосатын операциялар кіруі мүмкін. Бұл мәселе айнымалы кеңейту алдында емес, "git init" іске қосу алдында .git/ ішкі каталогын бірден жою арқылы шешілді.
Gitea 1.25.5 нұсқасында ақпан айында ұқсас осалдық (CVE-2026-25718) түзетілді.
Ақпарат көзі: opennet.ru
