Forgejo 협업 개발 플랫폼의 취약점으로 인해 원격 코드 실행이 가능합니다.

Forgejo 협업 개발 플랫폼의 패치 릴리스인 버전 16.0.4 및 15.0.8이 게시되었습니다. 이 패치는 원격 공격자가 서버에서 코드를 실행할 수 있도록 허용하는 심각한 취약점(CVE 미지정)을 해결합니다. Forgejo 서버 관리자는 시스템을 즉시 업데이트하고 침해 흔적이 없는지 확인해야 합니다. 이 취약점은 템플릿에서 새 저장소를 생성할 때 적절한 정리 작업이 이루어지지 않아 발생합니다.

사용자가 제공한 템플릿을 처리할 때 명령이 잘못 대체되는 것을 방지하기 위해 플랫폼은 새 Git 저장소를 초기화하기 전에 .git/ 하위 디렉터리를 제거합니다. 섬기는 사람공격자는 .forgejo/template 디렉터리에 있는 파일들의 변수 치환을 조작하여(예: 파일 경로를 "../../.git/hooks"로 바꾸는 방식) 이 삭제 과정을 우회하고 자체 콘텐츠를 포함하는 .git/ 하위 디렉터리를 생성할 수 있습니다. 이후 Git 저장소 초기화 시 Git은 .git/ 하위 디렉터리의 설정을 적용하는데, 여기에는 임의의 프로세스를 실행하는 작업이 포함될 수 있습니다. 이 문제는 변수 확장을 하기 전이 아니라 "git init"을 실행하기 직전에 .git/ 하위 디렉터리를 삭제함으로써 해결되었습니다.

Gitea 1.25.5 버전에서는 유사한 취약점(CVE-2026-25718)이 2월에 수정되었습니다.

출처 : opennet.ru